Spring 中处理XSS

有2种方式

一：在BaseController中定义方法

[java]  view plain  copy

1. /** 
2.  * 初始化数据绑定 
3.  * 1. 将所有传递进来的String进行HTML编码，防止XSS攻击 
4.  *  
5.  */  
6. @InitBinder  
7. protected void initBinder(WebDataBinder binder) {  
8.     // String类型转换，将所有传递进来的String进行HTML编码，防止XSS攻击  
9.     binder.registerCustomEditor(String.class, new PropertyEditorSupport() {  
10.         @Override  
11.         public void setAsText(String text) {  
12.             setValue(text == null ? null : StringEscapeUtils.escapeHtml4(text.trim()));  
13.         }  
14.         @Override  
15.         public String getAsText() {  
16.             Object value = getValue();  
17.             return value != null ? value.toString() : "";  
18.         }  
19.     });  
20. }  

其他Controller继续该抽象类即可。

二种：定义自己的编辑器

[java]  view plain  copy

1. public class StringEscapeEditor extends PropertyEditorSupport {  
2.   
3.     public StringEscapeEditor() {  
4.         super();  
5.     }  
6.   
7.     public void setAsText(String text) {  
8.         if (text == null) {  
9.             setValue(null);  
10.         } else {  
11.             String value = text;  
12.             value = StringEscapeUtils.escapeHtml4(value);  
13. //          value = StringEscapeUtils.escapeJavaScript(value);  
14. //          value = StringEscapeUtils.escapeSql(value);  
15.             setValue(value);  
16.         }  
17.     }  
18.   
19.     public String getAsText() {  
20.         Object value = getValue();  
21.         return value != null ? value.toString() : "";  
22.     }  
23.   
24.     public static void main(String[] args) {  
25.         String xx="'><script>alert(document.cookie)</script>";  
26.         System.out.println(StringEscapeUtils.escapeHtml4(xx));  
27.     }  
28. }  

[java]  view plain  copy

1. public class MyBindingInitializer implements WebBindingInitializer {  
2.     @Override  
3.     public void initBinder(WebDataBinder binder, WebRequest request) {  
4.         // 注册自定义的属性编辑器。这里可以注册多个属性编辑器  
5.         binder.registerCustomEditor(String.class, new StringEscapeEditor());  
6.   
7.     }  
8. }  

配置文件里注册下

[java]  view plain  copy

1. <bean class="org.springframework.web.servlet.mvc.annotation.AnnotationMethodHandlerAdapter">  
2. <property name="webBindingInitializer">    
3.         <bean class="com.bypay.forpay.web.common.MyBindingInitializer"/>    
4.     </property>    
5. </bean>  

其他注意事项：

[java]  view plain  copy

1. 在Oracle中，如果SQL中有like查询，若输入条件为：'><script>alert(document.cookie)</script>  

[java]  view plain  copy

1. sql的写法：  

[java]  view plain  copy

1. 推荐：<if test="dbName == 'oracle'">'%'||#{name}||'%'</if>   

[java]  view plain  copy

1. 不推荐：<if test="dbName == 'oracle'">and name like '%${merId}%'</if>这种写法会导致SQL注入问题  

另外网上很多的那种XSSfilter，我自己测试只有URL的那种get请求有效，spring mvc参数直接绑定到对象的方式是不会走这个filter，也就无法防止XSS的。不知道其他人是不是也这样。