Http协议&表单防止重复提交&XSS攻击&跨域五种实战解决方案

最新推荐文章于 2024-08-18 17:25:38 发布
置顶 最新推荐文章于 2024-08-18 17:25:38 发布
阅读量1.2k 收藏
点赞数
分类专栏： Java工具集 文章标签： Http协议 表单防止重复提交 XSS攻击 跨域
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_35381618/article/details/89429814
版权

http长连接与短连接

HTTP协议与TCP/IP协议的关系

         HTTP的长连接和短连接本质上是TCP长连接和短连接。HTTP属于应用层协议，在传输层使用TCP协议，在网络层使用IP协议。IP协议主要解决网络路由和寻址问题，TCP协议主要解决如何在IP层之上可靠的传递数据包，使在网络上的另一端收到发端发出的所有包，并且顺序与发出顺序一致。TCP有可靠，面向连接的特点。

如何理解HTTP协议是无状态的

       HTTP协议是无状态的，指的是协议对于事务处理没有记忆能力，服务器不知道客户端是什么状态。也就是说，打开一个服务器上的网页和你之前打开这个服务器上的网页之间没有任何联系。HTTP是一个无状态的面向连接的协议，无状态不代表HTTP不能保持TCP连接，更不能代表HTTP使用的是UDP协议（无连接）。

什么是长连接、短连接？

         在HTTP/1.0中，默认使用的是短连接。也就是说，浏览器和服务器每进行一次HTTP操作，就建立一次连接，但任务结束就中断连接。如果客户端浏览器访问的某个HTML或其他类型的 Web页中包含有其他的Web资源，如JavaScript文件、图像文件、CSS文件等；当浏览器每遇到这样一个Web资源，就会建立一个HTTP会话。

         但从 HTTP/1.1起，默认使用长连接，用以保持连接特性。使用长连接的HTTP协议，会在响应头有加入这行代码：Connection:keep-alive

        在使用长连接的情况下，当一个网页打开完成后，客户端和服务器之间用于传输HTTP数据的 TCP连接不会关闭，如果客户端再次访问这个服务器上的网页，会继续使用这一条已经建立的连接。Keep-Alive不会永久保持连接，它有一个保持时间，可以在不同的服务器软件（如Apache）中设定这个时间。实现长连接要客户端和服务端都支持长连接。

         HTTP协议的长连接和短连接，实质上是TCP协议的长连接和短连接。

TCP连接

       当网络通信时采用TCP协议时，在真正的读写操作之前，server与client之间必须建立一个连接，当读写操作完成后，双方不再需要这个连接 时它们可以释放这个连接，连接的建立是需要三次握手的，而释放则需要4次握手，所以说每个连接的建立都是需要资源消耗和时间消耗的

经典的三次握手示意图：

http://ww2.sinaimg.cn/mw690/0064cTs2jw1exnxmvpy6ij30ld0cutbv.jpg

经典的四次握手关闭图：

http://ww4.sinaimg.cn/large/0064cTs2jw1exnxmw4ffij30os0ffwtl.jpg

TCP短连接

         我们模拟一下TCP短连接的情况，client向server发起连接请求，server接到请求，然后双方建立连接。client向server 发送消息，server回应client，然后一次读写就完成了，这时候双方任何一个都可以发起close操作，不过一般都是client先发起 close操作。为什么呢，一般的server不会回复完client后立即关闭连接的，当然不排除有特殊的情况。从上面的描述看，短连接一般只会在 client/server间传递一次读写操作

短连接的优点是：管理起来比较简单，存在的连接都是有用的连接，不需要额外的控制手段。

 TCP长连接

        接下来我们再模拟一下长连接的情况，client向server发起连接，server接受client连接，双方建立连接。Client与server完成一次读写之后，它们之间的连接并不会主动关闭，后续的读写操作会继续使用这个连接。

       首先说一下TCP/IP详解上讲到的TCP保活功能，保活功能主要为服务器应用提供，服务器应用希望知道客户主机是否崩溃，从而可以代表客户使用资源。如果客户已经消失，使得服务器上保留一个半开放的连接，而服务器又在等待来自客户端的数据，则服务器将应远等待客户端的数据，保活功能就是试图在服务 器端检测到这种半开放的连接。

       如果一个给定的连接在两小时内没有任何的动作，则服务器就向客户发一个探测报文段，客户主机必须处于以下4个状态之一：

客户主机依然正常运行，并从服务器可达。客户的TCP响应正常，而服务器也知道对方是正常的，服务器在两小时后将保活定时器复位。

客户主机已经崩溃，并且关闭或者正在重新启动。在任何一种情况下，客户的TCP都没有响应。服务端将不能收到对探测的响应，并在75秒后超时。服务器总共发送10个这样的探测 ，每个间隔75秒。如果服务器没有收到一个响应，它就认为客户主机已经关闭并终止连接。

客户主机崩溃并已经重新启动。服务器将收到一个对其保活探测的响应，这个响应是一个复位，使得服务器终止这个连接。

客户机正常运行，但是服务器不可达，这种情况与2类似，TCP能发现的就是没有收到探查的响应。

 

长连接短连接操作过程

短连接的操作步骤是：

建立连接——数据传输——关闭连接…建立连接——数据传输——关闭连接

长连接的操作步骤是：

建立连接——数据传输…（保持连接）…数据传输——关闭连接

长连接是什么时候关闭

  1. 响应头Keep-Alive: timeout。这个值能够让一些浏览器主动关闭连接，这样服务器就不必要去关闭连接了。
  2. tcp自动探测一次，发现对方关闭，则断开连接
     

长连接和短连接的优点和缺点

       由上可以看出，长连接可以省去较多的TCP建立和关闭的操作，减少浪费，节约时间。对于频繁请求资源的客户来说，较适用长连接。不过这里存在一个问题，存活功能的探测周期太长，还有就是它只是探测TCP连接的存活，属于比较斯文的做法，遇到恶意的连接时，保活功能就不够使了。在长连接的应用场景下，client端一般不会主动关闭它们之间的连接，Client与server之间的连接如果一直不关闭的话，会存在一个问题，随着客户端连接越来越多，server早晚有扛不住的时候，这时候server端需要采取一些策略，如关闭一些长时间没有读写事件发生的连接，这样可 以避免一些恶意连接导致server端服务受损；如果条件再允许就可以以客户端机器为颗粒度，限制每个客户端的最大长连接数，这样可以完全避免某个蛋疼的客户端连累后端服务。

        短连接对于服务器来说管理较为简单，存在的连接都是有用的连接，不需要额外的控制手段。但如果客户请求频繁，将在TCP的建立和关闭操作上浪费时间和带宽。

        长连接和短连接的产生在于client和server采取的关闭策略，具体的应用场景采用具体的策略，没有十全十美的选择，只有合适的选择。

什么时候用长连接？什么时候用短连接？


        长连接多用于操作频繁，点对点的通讯，而且连接数不能太多情况，。每个TCP连接都需要三步握手，这需要时间，如果每个操作都是先连接，再操作的话那么处理速度会降低很多，所以每个操作完后都不断开，次处理时直接发送数据包就OK了，不用建立TCP连接。例如：数据库的连接用长连接， 如果用短连接频繁的通信会造成socket错误，而且频繁的socket 创建也是对资源的浪费。

        而像WEB网站的http服务一般都用短链接，因为长连接对于服务端来说会耗费一定的资源，而像WEB网站这么频繁的成千上万甚至上亿客户端的连接用短连接会更省一些资源，如果用长连接，而且同时有成千上万的用户，如果每个用户都占用一个连接的话，那可想而知吧。所以并发量大，但每个用户无需频繁操作情况下需用短连好。

长连接与短连接应用场景

长连接应用于场景 客户端（移动App）与服务器消息推送、RPC远程调用

 

 

http请求工具

客户端模拟http请求工具

Postmen(谷歌插件)、RestClient

服务器模拟http请求工具

httpclient、HttpURLConnection

httpCient请求代码

/**

      * 发送 post请求访问本地应用并根据传递参数不同返回不同结果

      */

     public void post() {
           // 创建默认的httpClient实例.
           CloseableHttpClient httpclient = HttpClients.createDefault();
           // 创建httppost
           HttpPost httppost = new HttpPost("http://localhost:8080/myDemo/Ajax/serivceJ.action");

           // 创建参数队列
           List<NameValuePair> formparams = new ArrayList<NameValuePair>();
           formparams.add(new BasicNameValuePair("type", "house"));
           UrlEncodedFormEntity uefEntity;
           try {

                uefEntity = new UrlEncodedFormEntity(formparams, "UTF-8");
                httppost.setEntity(uefEntity);
                System.out.println("executing request " + httppost.getURI());
                CloseableHttpResponse response = httpclient.execute(httppost);
                try {
                     HttpEntity entity = response.getEntity();
                     if (entity != null) {

                          System.out.println("--------------------------------------");

                          System.out.println("Response content: "
                        + EntityUtils.toString(entity, "UTF-8"));

                          System.out.println("--------------------------------------");

                     }

                } finally {

                     response.close();

                }

           } catch (ClientProtocolException e) {

                e.printStackTrace();

           } catch (UnsupportedEncodingException e1) {

                e1.printStackTrace();

           } catch (IOException e) {

                e.printStackTrace();

           } finally {

                // 关闭连接,释放资源

                try {

                     httpclient.close();

                } catch (IOException e) {

                     e.printStackTrace();

                }

           }

     }


public static void get() {

           CloseableHttpClient httpclient = HttpClients.createDefault();

           //请求超时

           httpclient.getParams().setParameter(CoreConnectionPNames.CONNECTION_TIMEOUT, 60000);

           //读取超时

           httpclient.getParams().setParameter(CoreConnectionPNames.SO_TIMEOUT, 60000);

           try {

                // 创建httpget.

                HttpGet httpget = new HttpGet("http://www.baidu.com/");

                System.out.println("executing request " + httpget.getURI());

                // 执行get请求.

                CloseableHttpResponse response = httpclient.execute(httpget);

                try {

                     // 获取响应实体

                     HttpEntity entity = response.getEntity();

                     System.out.println("--------------------------------------");

                     // 打印响应状态

                     System.out.println(response.getStatusLine());

                     if (entity != null) {

                          // 打印响应内容长度

                          System.out.println("Response content length: " 
                          + entity.getContentLength());

                          // 打印响应内容

                          System.out.println("Response content: " + EntityUtils.toString(entity));

                     }

                     System.out.println("------------------------------------");

                } finally {

                     response.close();

                }

           } catch (ClientProtocolException e) {

                e.printStackTrace();

           } catch (ParseException e) {

                e.printStackTrace();

           } catch (IOException e) {

                e.printStackTrace();

           } finally {

                // 关闭连接,释放资源

                try {

                     httpclient.close();

                } catch (IOException e) {

                     e.printStackTrace();

                }

           }


     }

前端ajax请求  

  

$.ajax({

        type : 'post',

        dataType : "text",

        url : "http://a.a.com/a/FromUserServlet",

        data : "userName=吴高尚&userAge=19",

        success : function(msg) {

           alert(msg);

        }

      });

跨域实战解决方案

跨域原因产生：在当前域名请求网站中，默认不允许通过ajax请求发送其他域名。

服务器端代码

@WebServlet("/FromServlet")

public class FromServlet extends HttpServlet {

      @Override

      protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {

            String userName = req.getParameter("userName");

            JSONObject jsonObject = new JSONObject();

            jsonObject.put("userName", userName);

            resp.getWriter().println(jsonObject.toJSONString());

      }

}

前端代码

<%@ page language="java" contentType="text/html; charset=UTF-8"

      pageEncoding="UTF-8"%>

<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">

<html>

<head>

<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">

<title>B网站访问</title>

</head>

<script type="text/javascript"

      src="http://www.iooicc.com/static/common/jquery-1.7.2.min.js?t=2019-04-21"></script>

<script type="text/javascript">

      $(document).ready(function() {

            $.ajax({

                  type : "GET",

                  async : false,

                  url : "http://a.a.com/a/FromServlet?userName=644064",

                  dataType : "json",

                  success : function(data) {

                        alert(data["userName"]);

                  },

                  error : function() {

                        alert('fail');

                  }

            });

 

      });

</script>

<body>

      <img alt="" src="http://a.a.com/a/imgs/log.png">

</body>

</html></script>

<body>

      <img alt="" src="http://a.a.com/a/imgs/log.png">

</body>

</html>

 

XMLHttpRequest cannot load 跨域问题解决办法

解决方案

使用后台response添加header

后台response添加header，response.setHeader("Access-Control-Allow-Origin", "*"); 支持所有网站

使用JSONP

前端代码:

$.ajax({

             type : "POST",

             async : false,

             url : "http://a.a.com/a/FromUserServlet?userName=张三",

             dataType : "jsonp",//数据类型为jsonp 

             jsonp : "jsonpCallback",//服务端用于接收callback调用的function名的参数 

             success : function(data) {

                 alert(data.result);

             },

             error : function() {

                 alert('fail');

             }

        });

 

jquery 中jsonp的实现原理

 

　在同源策略下，在某个服务器下的页面是无法获取到该服务器以外的数据的，即一般的ajax是不能进行跨域请求的。但 img、iframe 、script等标签是个例外，这些标签可以通过src属性请求到其他服务器上的数据。利用 script标签的开放策略，我们可以实现跨域请求数据，当然这需要服务器端的配合。 Jquery中ajax 的核心是通过 XmlHttpRequest获取非本页内容，而jsonp的核心则是动态添加 <script>标签来调用服务器提供的 js脚本。

　　当我们正常地请求一个JSON数据的时候，服务端返回的是一串 JSON类型的数据，而我们使用 JSONP模式来请求数据的时候服务端返回的是一段可执行的 JavaScript代码。因为jsonp 跨域的原理就是用的动态加载 script的src ，所以我们只能把参数通过 url的方式传递,所以jsonp的 type类型只能是get ！

示例：

$.ajax({

    url: 'http://192.168.1.114/yii/demos/test.php', //不同的域

    type: 'GET', // jsonp模式只有GET 是合法的

    data: {

        'action': 'aaron'

    },

    dataType: 'jsonp', // 数据类型

    jsonp: 'backfunc', // 指定回调函数名，与服务器端接收的一致，并回传回来

})

其实jquery 内部会转化成

http://192.168.1.114/yii/demos/test.php?backfunc=jQuery2030038573939353227615_1402643146875&action=aaron

然后动态加载

<script type="text/javascript"src="http://192.168.1.114/yii/demos/test.php?backfunc= jQuery2030038573939353227615_1402643146875&action=aaron"></script>

然后后端就会执行backfunc(传递参数 )，把数据通过实参的形式发送出去。

　　使用JSONP 模式来请求数据的整个流程：客户端发送一个请求，规定一个可执行的函数名（这里就是 jQuery做了封装的处理，自动帮你生成回调函数并把数据取出来供success属性方法来调用,而不是传递的一个回调句柄），服务器端接受了这个 backfunc函数名，然后把数据通过实参的形式发送出去

 

（在jquery 源码中， jsonp的实现方式是动态添加<script>标签来调用服务器提供的 js脚本。jquery 会在window对象中加载一个全局的函数，当 <script>代码插入时函数执行，执行完毕后就 <script>会被移除。同时jquery还对非跨域的请求进行了优化，如果这个请求是在同一个域名下那么他就会像正常的 Ajax请求一样工作。）

 

 

后端代码:

@WebServlet("/FromUserServlet")

public class FromUserServlet extends HttpServlet {


    @Override

    protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {

        doPost(req, resp);

    }


    @Override

    protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {

        resp.setCharacterEncoding("UTF-8");

        // resp.setHeader("Access-Control-Allow-Origin", "*");

         String userName = req.getParameter("userName");

         String userAge = req.getParameter("userAge");

         System.out.println(userName + "----" + userAge+"---"+req.getMethod());

        // JSONObject JSONObject1 = new JSONObject();

        // JSONObject1.put("success", "添加成功!");

        // resp.getWriter().write("callbackparam(" + JSONObject1.toJSONString()

        // + ")");


        try {

             resp.setContentType("text/plain");

             resp.setHeader("Pragma", "No-cache");

             resp.setHeader("Cache-Control", "no-cache");

             resp.setDateHeader("Expires", 0);

             PrintWriter out = resp.getWriter();

             JSONObject resultJSON = new JSONObject(); // 根据需要拼装json

             resultJSON.put("result", "content");

             String jsonpCallback = req.getParameter("jsonpCallback");// 客户端请求参数

             out.println(jsonpCallback + "(" + resultJSON.toJSONString() + ")");// 返回jsonp格式数据

             out.flush();

             out.close();

        } catch (Exception e) {

             // TODO: handle exception

        }

    }

}

JSONP的优缺点:

JSONP只支持get请求不支持psot请求

后台Http请求转发

  使用HttpClinet转发进行转发

使用接口网关

使用nginx转发。

使用SpringCloud网关

 

表单重复提交解决方案(防止Http重复提交

场景模拟

  创建一个from.jsp页面

<%@ page language="java" contentType="text/html; charset=UTF-8"

    pageEncoding="UTF-8"%>

<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">

<html>

  <head>

    <title>Form表单</title>

  </head>

 

  <body>

      <form action="${pageContext.request.contextPath}/DoFormServlet" method="post">

        用户名：<input type="text" name="userName">

        <input type="submit" value="提交" id="submit">

    </form>

  </body>

</html>

DoFormServlet 代码

import java.io.IOException;


import javax.servlet.ServletException;

import javax.servlet.annotation.WebServlet;

import javax.servlet.http.HttpServlet;

import javax.servlet.http.HttpServletRequest;

import javax.servlet.http.HttpServletResponse;


@WebServlet("/DoFormServlet")

public class DoFormServlet extends HttpServlet {


    @Override

    protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {

        req.setCharacterEncoding("UTF-8");

        String userName = req.getParameter("userName");

        try {

             Thread.sleep(300);

        } catch (Exception e) {

             // TODO: handle exception

        }

        System.out.println("往数据库插入数据...."+userName);

        resp.getWriter().write("success");

    }


}

网络延时

      在平时开发中，如果网速比较慢的情况下，用户提交表单后，发现服务器半天都没有响应，那么用户可能会以为是自己没有提交表单，就会再点击提交按钮重复提交表单，我们在开发中必须防止表单重复提交。

重新刷新

表单提交后用户点击【刷新】按钮导致表单重复提交

点击浏览器的【后退】按钮回退到表单页面后进行再次提交

用户提交表单后，点击浏览器的【后退】按钮回退到表单页面后进行再次提交

解决方案

使用javascript 解决

        既然存在上述所说的表单重复提交问题，那么我们就要想办法解决，比较常用的方法是采用JavaScript来防止表单重复提交，具体做法如下：

修改form.jsp页面，添加如下的JavaScript代码来防止表单重复提交

代码:

<%@ page language="java" contentType="text/html; charset=UTF-8"

    pageEncoding="UTF-8"%>

<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">

<html>

<head>

<title>Form表单</title>

<script type="text/javascript">

    var isFlag = false; //表单是否已经提交标识，默认为false

 

    function submitFlag() {

 

        if (!isFlag) {

             isFlag = true;

             return true;

        } else {

             return false;

        }

 

    }

</script>

</head>

 

<body>

    <form action="${pageContext.request.contextPath}/DoFormServlet"

        method="post" onsubmit="return submitFlag()">

        用户名：<input type="text" name="userName"> <input type="submit"

             value="提交" id="submit">

    </form>

</body>

</html>

 除了用这种方式之外，经常见的另一种方式就是表单提交之后，将提交按钮设置为不可用，让用户没有机会点击第二次提交按钮，代码如下：

 

function dosubmit(){

    //获取表单提交按钮

    var btnSubmit = document.getElementById("submit");

    //将表单提交按钮设置为不可用，这样就可以避免用户再次点击提交按钮

    btnSubmit.disabled= "disabled";

    //返回true让表单可以正常提交

    return true;

}

 

使用后端提交解决

       对于【场景二】和【场景三】导致表单重复提交的问题，既然客户端无法解决，那么就在服务器端解决，在服务器端解决就需要用到session了。

  具体的做法：在服务器端生成一个唯一的随机标识号，专业术语称为Token(令牌)，同时在当前用户的Session域中保存这个Token。然后将Token发送到客户端的Form表单中，在Form表单中使用隐藏域来存储这个Token，表单提交的时候连同这个Token一起提交到服务器端，然后在服务器端判断客户端提交上来的Token与服务器端生成的Token是否一致，如果不一致，那就是重复提交了，此时服务器端就可以不处理重复提交的表单。如果相同则处理表单提交，处理完后清除当前用户的Session域中存储的标识号。
  在下列情况下，服务器程序将拒绝处理用户提交的表单请求：

  1. 存储Session域中的Token(令牌)与表单提交的Token(令牌)不同。
  2. 当前用户的Session中不存在Token(令牌)。
  3. 用户提交的表单数据中没有Token(令牌)。

转发代码:

@WebServlet("/ForwardServlet")

public class ForwardServlet extends HttpServlet {

     @Override

     protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {

         req.getSession().setAttribute("sesionToken", TokenUtils.getToken());

         req.getRequestDispatcher("form.jsp").forward(req, resp);

     }

}

转发页面:

<%@ page language="java" contentType="text/html; charset=UTF-8"

      pageEncoding="UTF-8"%>

<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">

<html>

<head>

<title>Form表单</title>

 

</head>

 

<body>

      <form action="${pageContext.request.contextPath}/DoFormServlet"

            method="post" onsubmit="return dosubmit()">

            <input type="hidden" name="token" value="${sesionToken}"> 用户名：<input type="text"

                  name="userName"> <input type="submit" value="提交" id="submit">

      </form>

</body>

</html>

后端Java代码:

@WebServlet("/DoFormServlet")

public class DoFormServlet extends HttpServlet {

     @Override

     protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {

         req.setCharacterEncoding("UTF-8");

         boolean flag = isFlag(req);

         if (!flag) {

              resp.getWriter().write("已经提交...");

              System.out.println("数据已经提交了..");

              return;

         }

         String userName = req.getParameter("userName");

         try {

              Thread.sleep(300);

         } catch (Exception e) {

              // TODO: handle exception

         }

         System.out.println("往数据库插入数据...." + userName);

         resp.getWriter().write("success");

     }

 

     public boolean isFlag(HttpServletRequest request) {

         HttpSession session = request.getSession();

         String sesionToken = (String) session.getAttribute("sesionToken");

         String token = request.getParameter("token");

         if (!(token.equals(sesionToken))) {

              return false;

         }

         session.removeAttribute("sesionToken");

         return true;

     }

}

 

        Filter 也称之为过滤器，它是 Servlet 技术中最实用的技术，Web 开发人员通过 Filter 技术，对 web 服务器管理的所有 web 资源：例如 Jsp, Servlet, 静态图片文件或静态 html 文件等进行拦截，从而实现一些特殊的功能。例如实现 URL 级别的权限访问控制、过滤敏感词汇、压缩响应信息等一些高级功能。

它主要用于对用户请求进行预处理，也可以对 HttpServletResponse 进行后处理。使用 Filter 的完整流程：Filter 对用户请求进行预处理，接着将请求交给 Servlet 进行处理并生成响应，最后 Filter 再对服务器响应进行后处理。

 

使用Fileter防止XSS攻击

什么是XSS攻击？

XSS攻击使用Javascript脚本注入进行攻击

例如在表单中注入: <script>location.href='http://www.iooicc.com'</script>

注意:谷歌浏览器 已经防止了XSS攻击，为了演示效果，最好使用火狐浏览器

实例:

演示:

代码: fromToXss.jsp

<%@ page language="java" contentType="text/html; charset=UTF-8"

    pageEncoding="UTF-8"%>

<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">

<html>

<head>

<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">

<title>Insert title here</title>

</head>

<body>

    <form action="XssDemo" method="post">

        <input type="text" name="userName"> <input type="submit">

    </form>

</body>

</html>

代码: XssDemo

import java.io.IOException;

 

import javax.servlet.ServletException;

import javax.servlet.annotation.WebServlet;

import javax.servlet.http.HttpServlet;

import javax.servlet.http.HttpServletRequest;

import javax.servlet.http.HttpServletResponse;

 

@WebServlet("/XssDemo")

public class XssDemo extends HttpServlet {

 

    @Override

    protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {

        String userName = req.getParameter("userName");

        req.setAttribute("userName", userName);

        req.getRequestDispatcher("showUserName.jsp").forward(req, resp);

    }

   

 

}

 

代码: showUserName.jsp

<%@ page language="java" contentType="text/html; charset=UTF-8"

    pageEncoding="UTF-8"%>

<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">

<html>

<head>

<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">

<title>Insert title here</title>

 

</head>

<body>userName:${userName}

 

</body>

</html>

解決方案

使用Fileter过滤器过滤器注入标签

XSSFilter

public class XssFiter implements Filter {

 

      public void init(FilterConfig filterConfig) throws ServletException {

 

      }

 

      public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)

                  throws IOException, ServletException {

            HttpServletRequest req = (HttpServletRequest) request;

            XssAndSqlHttpServletRequestWrapper xssRequestWrapper = new XssAndSqlHttpServletRequestWrapper(req);

            chain.doFilter(xssRequestWrapper, response);

      }

 

      public void destroy() {

 

      }

 

}

 

XssAndSqlHttpServletRequestWrapper

 

import javax.servlet.http.HttpServletRequest;

import javax.servlet.http.HttpServletRequestWrapper;

import org.apache.commons.lang3.StringEscapeUtils;

import org.apache.commons.lang3.StringUtils;

 

/**

 * 防止XSS攻击

 */

public class XssAndSqlHttpServletRequestWrapper extends HttpServletRequestWrapper {

      HttpServletRequest request;

      public XssAndSqlHttpServletRequestWrapper(HttpServletRequest request) {

            super(request);

            this.request = request;

      }

      @Override

      public String getParameter(String name) {

            String value = request.getParameter(name);

            System.out.println("name:" + name + "," + value);

            if (!StringUtils.isEmpty(value)) {

                  // 转换Html

                  value = StringEscapeUtils.escapeHtml4(value);

            }

            return value;

      }

}

 

本章节用到maven坐标

<dependency>

    <groupId>org.apache.commons</groupId>

    <artifactId>commons-lang3</artifactId>

    <version>3.4</version>

</dependency>

Mr_wugaoshang
关注
专栏目录
【漏洞挖掘】——53、 WebSocket安全概览
Fly_鹏程万里
06-07 301
在一次做项目的时候本来是想去点击Burpsuite的Proxy界面的HTTP History选项卡来查看HTTP历史请求记录信息并做测试的，但是在查看的时候却下意识的点击到了HTTP Proxy右侧的"WebSockets History"选项卡中，从界面的交互历史中发现网站有使用WebSocket进行通信，虽然之前有对Websocket有一些简单的了解(比如:跨越问题)，但是未对此进行深入研究，这让我产生了需要深入研究一下的想法。
xss漏洞学习小结，详不详细你说了算
MSB_WLAQ的博客
10-09 859
xss漏洞小结 一、初识XSS 1、什么是XSS XSS全称跨站脚本(Cross Site Scripting)，为避免与层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故缩写为XSS。这是一种将任意 Javascript 代码插入到其他Web用户页面里执行以达到攻击目的的漏洞。攻击者利用浏览器的动态展示数据功能，在HTML页面里嵌入恶意代码。当用户浏览改页时，这些潜入在HTML中的恶意代码会被执行，用户浏览器被攻击者控制，从而达到攻击者的特殊目的，如 coo.
表单提交防刷(重复提交,恶意提交)的方法
qq_41714882的博客
01-06 1632
背景与介绍： 平时开发的项目中可能会出现下面这些情况： 由于用户误操作，多次点击表单提交按钮。 由于网速等原因造成页面卡顿，用户重复刷新提交页面。 黑客或恶意用户使用postman等工具重复恶意提交表单（攻击网站）。 这些情况都会导致表单重复提交，造成数据重复，增加服务器负载，严重甚至会造成服务器宕机。因此有效防止表单重复提交有一定的必要性。 解决方案 通过JavaScript屏蔽提交按钮（不...
解决提交表单时Xss攻击的问题
Carson的专栏
09-04 7840
之前一直做内网系统，都是局域网，对安全问题一直考虑不周。 有一天对自己线上的表单做了一个测试，将&lt;script&gt;alert("xxx")&lt;/script&gt;作为表单选项提交，在后台回显时，可想而知，后台弹出了一个alert("xxx")的巨大的bug。 ------------------------------------- 修改了Xss攻击时的问题，改成了一个过滤器...
内网安全：跨域攻击
最新发布
8888的博客
08-18 1436
mimikatz kerberos::golden /domain:子域 /sid:子域SID /sids:父域-519 /rc4:信任密钥 /user:任意用户 /service:krbtgt /target:父域 /ticket:subdc_administrator.kirbi。Kerberos::golden /user:administrator /domain:当前域名 /sid:当前SID /sids:目标域SID519 /krbtgt:krbtgt散列 /ptt。查看当前域中计算机的权限。
一种网关（服务端）防止重复提交的机制
ws_dingwei的博客
10-30 3038
当前市面上解决重复提交的技术方案主要有以下几种： 通过JavaScript限制表单重复提交 通过js代码，当用户点击提交按钮后，屏蔽提交按钮或者将重复点击在指定情况下置为无效，使用户无法点击提交按钮或点击无效，从而实现防止表单重复提交。 给数据库加唯一索引约束 在数据库建表的时候在ID字段添加主键约束，用户名、邮箱、电话等字段加唯一性约束。确保数据库只可以添加一条数据。 利用session进...
防止XSS攻击
2302_77596945的博客
05-16 282
全称跨站脚本攻击为了与重叠样式表CSS进行区分，所以换了另一个缩写名称XSSxss攻击指攻击者通过在网页中注入恶意HTML脚本，从而在受害者浏览器上执行恶意代码，窃取受害者的敏感信息。
XSS渗透与防御——（一）HTTP协议
FisrtBqy的博客
03-08 761
第一章 HTTP协议1 HTTP请求响应1.1 常见的请求方式1.2 HTTP请求格式1.3 HTTP响应格式1.4 HTTP特点2 Cookie和Session2.1 客户端的cookie2.1.1 cookie2.1.2 JavaScript操作cookie2.1.3 浏览器插件操作cookie2.2 服务端的Session 1 HTTP请求响应 1.1 常见的请求方式 归类 方法 作用
跨域问题，防止表单重复提交，防止XSS攻击
qq_43868329的博客
02-06 371
跨域问题 1.设置请求头 代码： b_prokect <input type="text" name="username" id="username"><input type="button" value="提交" name="button" id="button"> <script type="text/javascript" src="js/jquery-1.8...
java架构学习——17. 表单重复提交&防止模拟请求&跨域解决方案&XSS攻击
wmq_fly的博客
02-15 759
一、http长连接与短连接 在HTTP/1.0中，默认使用的是短连接。也就是说，浏览器和服务器每进行一次HTTP操作，就建立一次连接，但任务结束就中断连接。如果客户端浏览器访问的某个HTML或其他类型的 Web页中包含有其他的Web资源，如JavaScript文件、图像文件、CSS文件等；当浏览器每遇到这样一个Web资源，就会建立一个HTTP会话。 但从 HTTP/1.1起，默认使用长连接，用以保...
你可能不知道的CORS跨域资源共享
10-17
但像链接、重定向和表单提交等不受同源策略的限制，这为跨域攻击提供了可能，如XSS（跨站脚本攻击）和CSRF（跨站请求伪造）。 为了解决这些问题并支持安全的跨域访问，出现了各种跨域解决方案。JSONP（JSON with ...
WEB漏洞篇——跨站脚本攻击（XSS）
m0_56634355的博客
06-05 4723
目录一、XSS简述1.1 什么是XSS1.2 XSS分类1.3 DOM XSS漏洞演示二、XSS攻击进阶2.1 初探XSS Payload2.2 强大的XSS Payload2.3 XSS攻击平台2.4 XSS Worm2.5 XSS构造技巧2.6 反射型XSS利用技巧-回旋镖2.7 Flash XSS2.8 JavaScript开放框架三、XSS防御3.1 HttpOnly3.2 输入检查3.3 输出检查3.4 正确地防御XSS3.5 处理富文本3.6 防御DOM Based XSS四、总结XSS攻击是指
【API网关】如何防止API相同的数据被提交多次
RestCloud 技术支持的博客
06-13 725
通过网关对API做防止重复提交的规则，如物品的ID不可重复，则可配置该规则，当识别到ID被重复提交，返回提示信息。在后端API不具备幂等性的情况下，如何防止相同的数据被提交多次？1.打开API网关平台，安全设置，防重复提交配置。3.把应用的API添加进规则。2.添加防重复提交规则。
Web安全问题：Xss攻击及解决方法
y_mk的博客
06-12 771
参考：蚂蚁课堂 什么是Xss攻击？ 首先，这个词实际上是CSS（Cross Site Scripting），但它与CSS同名。所以名字是XSS。 ——摘自百度百科https://baijiahao.baidu.com/sid=1618267672561552800&wfr=spider&for=pc 其实就是使用Javascript脚本注入进...
防重复提交方案
super_scan的专栏
05-07 467
一、背景由于某种原因（网络闪断、网速差、页面刷新、按钮双击等），客户端向服务器先后发送了多次相同的请求（本该只请求1次），如果后端不做处理可能造成1、重复数据、重复操作、重复扣款2、并发问...
XSS(跨站脚本攻击)漏洞解决方案
xulong5000的专栏
10-21 951
首先，简单介绍一下XSS定义： 一 、 XSS介绍 XSS是跨站脚本攻击（Cross Site Scripting）的缩写。为了和层叠样式表CSS（Cascading Style Sheets)加以区分，因此将跨站脚本攻击缩写为XSS。XSS是因为有些恶意攻击者往Web页面中插入恶意Script代码，当用户浏览该页面时，嵌入的Script代码将会被执行，从而达到恶意攻击用户的特殊目的。 二、...
http与https的区别
dianbiao3588的博客
03-07 140
https的区别 1、https 协议需要到 ca 申请证书，一般免费证书较少，因而需要一定费用。 2、http 是超文本传输协议，信息是明文传输，https 则是具有安全性的 ssl 加密传输协议。 3、http 和 https 使用的是完全不同的连接方式，用的端口也不一样，前者是 80，后者是 443。 4、http 的连接很简单，是无状态的；HTTPS 协议是由 SSL+H...
防重复提交专题3-2:总结 XSS 与 CSRF 两种跨站攻击
ice-wee的专栏
07-29 1444
前言         今天发了三篇博客,咋一看这三篇博客毫无联系,网上很多博客也多是将这三篇博客作为三篇不同的主题发表。如果你不将这三篇博客联系起来看,就不能很透彻的防重复提交这个知识点,也不能学完整这个知识体系。为什么说这三篇文章要关联看,我在第三篇博客 springmvc下的基于token的防重复提交 里会阐述原因.下面要讲的三篇博客: 3 springmvc下的基于token的防重复提交
表单提交 防注入XSS 1入库时转义、后台 2出库转义、前台
anming1419的博客
05-11 381
第一种 入库过滤js自动填充时过滤js代码class GoodsModel extends Model{ // 填充 protected $_auto = [ // 自己补充填充规则 // 描述中 处理掉script部分 ['description', 'mkDescription', self::MODEL_BOTH, 'callb...
HTTP长连接与短连接：跨域、XSS和CSRF解决方案解析
本文将深入探讨Web开发中的高级概念，包括HTTP的长连接与短连接、HTTP协议的无状态性以及跨域、XSS和CSRF等安全问题的解决方案。 首先，HTTP协议是基于TCP/IP协议栈的应用层协议，它利用TCP提供可靠性，IP负责网络...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值