如何使用springMVC通过Filter实现防止xss注入

本篇内容介绍了“如何使用springMVC通过Filter实现防止xss注入”的有关知识，在实际案例的操作过程中，不少人都会遇到这样的困境，接下来就让小编带领大家学习一下如何处理这些情况吧！希望大家仔细阅读，能够学有所成！

springmvc Filter防止xss注入

跨站脚本工具（cross 斯特scripting），为不和层叠样式表（cascading style sheets,CSS）的缩写混淆，故将跨站脚本攻击缩写为XSS。

恶意攻击者往WEB页面里插入恶意scriptScript代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。

防止XSS攻击简单的预防就是对Request请求中的一些参数去掉一些比较敏感的脚本命令。

原本是打算通过springMVC的HandlerInterceptor机制来实现的，通过获取request然后对request中的参数进行修改，结果虽然值修改了，但在Controller中获取的数值还是没有修改的。没办法就是要Filter来完成。

简单来说就是创建一个新的HttpRequest类XsslhttpservletRequestWrapper，然后重写一些get方法（获取参数时对参数进行XSS判断预防）。

@WebFilter(filterName="xSSMyfilter",urlPatterns=" public static String replaceXSS(String value) {     if (value != null) {         try{          value = value.replace("+","%2B");   //'+' replace to '%2B'          value = URLDecoder.decode(value, "utf-8");         }catch(UnsupportedEncodingException e){         }catch(IllegalArgumentException e){     }            // Avoid null characters   value = value.replaceAll("\0", "");    // Avoid anything between script tags   Pattern scriptPattern = Pattern.compile("<script>(.*?)</script>", Pattern.CASE_INSENSITIVE);   value = scriptPattern.matcher(value).replaceAll("");    // Avoid anything in a src='...' type of e&shy;xpression   scriptPattern = Pattern.compile("src[\r\n]*=[\r\n]*\\\'(.*?)\\\'", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);   value = scriptPattern.matcher(value).replaceAll("");    scriptPattern = Pattern.compile("src[\r\n]*=[\r\n]*\\\"(.*?)\\\"", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);   value = scriptPattern.matcher(value).replaceAll("");    // Remove any lonesome </script> tag   scriptPattern = Pattern.compile("</script>", Pattern.CASE_INSENSITIVE);   value = scriptPattern.matcher(value).replaceAll("");    // Remove any lonesome <script ...> tag   scriptPattern = Pattern.compile("<script(.*?)>", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);   value = scriptPattern.matcher(value).replaceAll("");    // Avoid eval(...) e&shy;xpressions   scriptPattern = Pattern.compile("eval\\((.*?)\\)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);   value = scriptPattern.matcher(value).replaceAll("");    // Avoid e&shy;xpression(...) e&shy;xpressions   scriptPattern = Pattern.compile("e&shy;xpression\\((.*?)\\)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);   value = scriptPattern.matcher(value).replaceAll("");    // Avoid javascript:... e&shy;xpressions   scriptPattern = Pattern.compile("javascript:", Pattern.CASE_INSENSITIVE);   value = scriptPattern.matcher(value).replaceAll("");   // Avoid alert:... e&shy;xpressions   scriptPattern = Pattern.compile("alert", Pattern.CASE_INSENSITIVE);   value = scriptPattern.matcher(value).replaceAll("");   // Avoid οnlοad= e&shy;xpressions   scriptPattern = Pattern.compile("onload(.*?)=", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);   value = scriptPattern.matcher(value).replaceAll("");   scriptPattern = Pattern.compile("vbscript[\r\n| | ]*:[\r\n| | ]*", Pattern.CASE_INSENSITIVE);     value = scriptPattern.matcher(value).replaceAll("");  }              return filter(value); }      public static String filter(String value) {         if (value == null) {             return null;         }                 StringBuffer result = new StringBuffer(value.length());         for (int i=0; i<value.length(); ++i) {             switch (value.charAt(i)) {              case '<':                  result.append("<");                  break;              case '>':                   result.append(">");                  break;              case '"':                   result.append(""");                  break;              case '\'':                   result.append("'");                  break;              case '%':                   result.append("%");                  break;              case ';':                   result.append(";");                  break;           case '(':                   result.append("(");                  break;              case ')':                   result.append(")");                  break;              case '&':                   result.append("&");                  break;              case '+':                  result.append("+");                  break;              default:                  result.append(value.charAt(i));                  break;          }           }         return result.toString();     } }

SpringMVC 防止XSS 工具(常规方式)

要求：

xss过滤请求的参数：Content-Type为 JSON(application/json)

SpringMVC 对于application/json 转换处理说明：

spring mvc默认使用MappingJackson2HttpMessageConverter转换器，

而它是使用jackson来序列化对象的，如果我们能 将jackson的序列化和反序列化过程修改，加入过滤xss代码，并将其注册到MappingJackson2HttpMessageConverter中

具体实现功能代码：

import java.io.IOException;import org.apache.commons.text.StringEscapeUtils;import com.fasterxml.jackson.core.JsonParser;import com.fasterxml.jackson.core.JsonProcessingException;import com.fasterxml.jackson.databind.DeserializationContext;import com.fasterxml.jackson.databind.deser.std.StdDeserializer; public class XssDefaultJsonDeserializer extends StdDeserializer<String> {  public XssDefaultJsonDeserializer(){  this(null); }  public XssDefaultJsonDeserializer(Class<String> vc) {  super(vc); }  @Override public String deserialize(JsonParser jsonParser, DeserializationContext ctxt) throws IOException, JsonProcessingException {  // TODO Auto-generated method stub  //return StringEscapeUtils.escapeEcmaScript(jsonParser.getText());  return StringEscapeUtils.unescapehtml4(jsonParser.getText()); } }

SpringMVC 配置对象：

@Configuration@EnableWebMvcpublic class SpingMVCConfig extends WebMvcConfigurerAdapter { @Override public void configureMessageConverters(List<HttpMessageConverter<?>> converters) {  super.configureMessageConverters(converters);  // TODO Auto-generated method stub  SimpleModule module = new SimpleModule();  // 反序列化  module.aDDDeserializer(String.class, new XssDefaultJsonDeserializer());  // 序列化  module.addSerializer(String.class, new XssDefaultJsonSerializer());  ObjectMapper mapper = Jackson2ObjectMapperBuilder.json().build();  // 注册自定义的序列化和反序列化器  mapper.reGISterModule(module);  MappingJackson2HttpMessageConverter converter = new MappingJackson2HttpMessageConverter(mapper);  converters.add(converter);          }}

“如何使用springMVC通过Filter实现防止xss注入”的内容就介绍到这里了，感谢大家的阅读。如果想了解更多行业相关的知识可以关注编程网网站，小编将为大家输出更多高质量的实用文章！