彻底解决spring mvc XSS漏洞问题（包括json的格式的入参和出参）

目录

一，背景

二，名词解释

三，xss修复的一般处理方法

四、扩展jackson定制自己的objectMapper处理json出入参的转义

五、结语

---

一，背景

昨天收到公司安全部的一封漏洞邮件，说系统注册存在xss存储型漏洞，然后看了一下系统中是有xssFilter处理xss漏洞的，但是注册页面xss注入的却没有处理，经过分析代码和网上查找资料，xssFilter只能处理get请求的xss注入和post请求非json的注入，但是我们的注册页面保存接口的入参是json格式的，所以没有处理到。最后经过各种查找资料、阅读springmvc的源码和偿试，终于解决了，能够对入参和出参（包括json格式）进行转义的方法。

二，名词解释

xss是跨站脚本攻击。恶意攻击者往Web页面里插入恶意的Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。比如在页面的input输入框中输入一段js代码，如果没有做任何处理就保存到数据库，在页面回显时就会直接执行这段js，导致cookie盗取，钓鱼劫持等风险。

三，xss修复的一般处理方法

springmvc中常见的是用Filter来预防 , 就是创建一个新的httpRequest类XsslHttpServletRequestWrapper，然后重写一些get方法，在获取参数时对参数中的字符串进行转义，来进行XSS判断预防。网上很多说的是这种方法，但是这种方式不能对json格式的入参进行转义，所以还是存在问题的。

1，XssFilter

package com.xss.web.filter;

import com.tqmall.web.converter.XssStringJsonSerializer;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Primary;
import com.fasterxml.jackson.databind.ObjectMapper;
import com.fasterxml.jackson.databind.module.SimpleModule;
import org.springframework.stereotype.Component;

import javax.servlet.*;
import javax.servlet.http.HttpServletRequest;
import java.io.IOException;

/**
 * 跨站脚本攻击过滤器
 * 
 * 
 */
public class XssFilter implements Filter {

	@Override
	public void init(FilterConfig filterConfig) throws ServletException {
		// TODO Auto-generated method stub

	}

	@Override
	public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
		// TODO Auto-generated method stub
		chain.doFilter(new XssRequestWrapper((HttpServletRequest) request), response);
	}

	@Override
	public void destroy() {
		// TODO Auto-generated method stub

	}

}

2，