springboot增加XSS跨站脚本攻击防护功能

最新推荐文章于 2023-06-12 11:13:31 发布

爱智慧的打工人

最新推荐文章于 2023-06-12 11:13:31 发布

阅读量534

点赞数

分类专栏： java 文章标签： spring boot

本文链接：https://blog.csdn.net/weixin_43596905/article/details/117015734

版权

本文介绍了如何在SpringBoot应用中防止XSS攻击。详细步骤包括：创建Filter类、设计xssHttpServletRequestWrapper以替换参数中的XSS代码、在配置类中注册Filter，并通过application.properties或application.yml设置接口忽略与过滤开关。

摘要由CSDN通过智能技术生成

参考文章https://my.oschina.net/u/4407261/blog/3395458

XSS原理

xss攻击的原理是利用前后端校验不严格，用户将攻击代码植入到数据中提交到了后台，当这些数据在网页上被其他用户查看的时候触发攻击
举例：用户提交表单时把地址写成：山东省济南市<script>for(var i=0;i<9999;i++){alert(i)}</script>
上面的数据如果没有在后台做处理，当数据被展示到网页上的时候，会在网页上弹出N个alert框，当然实际攻击肯定是比这个要复杂的多的

SpringBoot防护

1.增加一个Filter类

import org.apache.commons.lang3.StringUtils;

import javax.servlet.*;
import javax.servlet.http.HttpServletRequest;
import java.io.IOException;
import java.util.ArrayList;
import java.util.List;
import java.util.regex.Matcher;
import java.util.regex.Pattern;

public class XssFilter implements Filter {
   

    private List<String> excludes = new ArrayList<>();

    private boolean enabled = false;

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
   
        String strExcludes = filterConfig.getInitParameter("excludes");
        String strEnabled = filterConfig.getInitParameter("enabled");
        //将不需要xss过滤的接口添加到列表中
        if(StringUtils.isNotEmpty(strExcludes)){
   
            String[] urls = strExcludes.split(",");
            for(String url:urls){
   
                excludes.add(url);
            }
        }
        if(StringUtils.isNotEmpty(strEnabled)){
   
            enabled = Boolean.valueOf(strEnabled);
        }
    }

    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
   
        HttpServletRequest request = (HttpServletRequest) servletRequest;

        //如果该访问接口在排除列表里面则不拦截
        if(isExcludeUrl(request.getServletPath())){
   
            filterChain.doFilter(servletRequest,servletResponse);
            return;
        }
        //拦截该url并进行xss过滤
        XssHttpServletRequestWrapper xssHttpServletRequestWrapper = new XssHttpServletRequestWrapper(request);
        filterChain.doFilter(xssHttpServletRequestWrapper,servletResponse);

    }

    @Override
    public void destroy() {
   

    }

    private boolean isExcludeUrl(String urlPath){
   
        if(!enabled){
   
            //如果xss开关关闭了，则所有url都不拦截
            return true;
        }
        if(excludes==null||excludes.isEmpty()){
   
            return false;
        }

        String url = urlPath;
        for(String pattern:excludes){
   
            Pattern p = Pattern