富文本编辑器过滤XSS攻击

最新推荐文章于 2024-04-02 16:22:30 发布

最爱桃子的阿狸

最新推荐文章于 2024-04-02 16:22:30 发布

阅读量9.7k

点赞数

分类专栏： JAVAEE 文章标签： XSS JAVA

本文链接：https://blog.csdn.net/pdy8023/article/details/80338957

版权

JAVAEE 专栏收录该内容

3 篇文章 0 订阅

订阅专栏

考虑到富文本编辑器可以直接在源代码里面写js代码，所以本文通过java过滤器，和字符串替换来做简单的防止。

一、后台添加过滤器

<!-- 防止CSS跨站脚本攻击: 本参数仅对各标签库生效如spring taglib/jstl/freemarker等 -->
<context-param>
    <param-name>defaultHtmlEscape</param-name>
    <param-value>true</param-value>
</context-param>
<filter>
    <filter-name>XssSqlFilter</filter-name>
    <filter-class>org.cdc.web.xss.XssFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>XssSqlFilter</filter-name>
    <url-patten>/*</url-patten>
    <dispatcher>REQUEST</dispatcher>
</filter-mapping>
<!-- 防止CSS跨站脚本攻击 -->

二、替换特殊字符

private String cleanXSS(String value){
    // You'll need to remove the spaces from the html entities below
    value = value .replaceAll("<","& lt;").replaceAll(">","& gt;");
    value = value.replaceAll("\\(","& #40;").replaceAll("\\)","& #41;");
    value = value.replaceAll("'","& #39;");
    value = value.replaceAll("eval\\((.*)\\)","");
    value = value.replaceAll("[\\\"\\\'][\\s]*javascript:(.*)[\\\"\\\']","\"\"");
    value = value.replaceAll("script","");
    value = value.trim();
    return value;
}

本文出处：https://blog.csdn.net/pdy8023/article/details/80338957