Hello大家好，本章我們新增防止XSS攻擊功能 。有問題可以聯絡我mr_beany@163.com。另求各路大神指點，感謝
一：什麼是XSS
XSS攻擊全稱跨站指令碼攻擊，是一種在web應用中的電腦保安漏洞，它允許惡意web使用者將程式碼植入到提供給其它使用者使用的頁面中。
你可以自己做個簡單嘗試：
1. 在任何一個表單內，你輸入一段簡單的js程式碼：<script>for(var i=0;i<1000;i++){alert("彈死你"+i);}</script>，將其存入資料庫；
2. 在頁面上一個div元素內直接展示第一步記憶體入的值，你會發現彈出框出現了；
以上兩個示例僅僅算是惡作劇，惡意使用者能做的更多，如獲取使用者資訊，進行“網路釣魚”攻擊等。
應對XSS攻擊的其中一個方式就是後端對輸入內容進行過濾，輸入內容裡面的敏感資訊直接過濾，如<script>標籤等。
二：新增Jsoup依賴
Jsoup使用標籤白名單的機制用來進行防止XSS攻擊, 假設白名單中只允許p標籤存在, 此時在一段HTML程式碼中, 只能存在p標籤 , 其他標籤將會被清除只保留被標籤所包裹的內容，當然，Jsoup不僅僅可以用來過濾，還可以用來爬蟲，這裡先不做說明，後期會單寫一篇文章進行講解。
<dependency>
<groupId>org.jsoup</groupId>
<artifactId>jsoup</artifactId>
<version>1.10.2</version>
</dependency>複製程式碼三：建立過濾器
在core下建立filter資料夾
1、建立過濾規則
package com.example.demo.core.filter;
import org.jsoup.Jsoup;
import org.jsoup.nodes.Document;
import org.jsoup.safety.Whitelist;
/**
* @author 張瑤
* @Description: xss非法標籤過濾
* @date 2018/5/16 20:03
*/
public class XssFilterUtil {
/**
* 使用自帶的basicWithImages 白名單
* 允許的便籤有a,b,blockquote,br,cite,code,dd,dl,dt,em,i,li,ol,p,pre,q,small,span,
* strike,strong,sub,sup,u,ul,img
* 以及a標籤的href,img標籤的src,align,alt,height,width,title屬性
*/
private static final Whitelist whitelist = Whitelist.basicWithImages();
/** 配置過濾化引數,不對程式碼進行格式化 */
private static final Document.OutputSettings outputSettings = new Document.OutputSettings().prettyPrint(false);
static {
// 富文字編輯時一些樣式是使用style來進行實現的
// 比如紅色字型 style="color:red;"
// 所以需要給所有標籤新增style屬性
whitelist.addAttributes(":all", "style");
}
public static String clean(String content) {
return Jsoup.clean(content, "", whitelist, outputSettings);
}
}
複製程式碼2、重寫請求引數處理函式，這是實現XSS過濾的關鍵，在其內重寫了getParameter，getParameterValues，getHeader等方法，對http請求內的引數進行了過濾。
package com.example.demo.core.filter;
import org.apache.commons.lang3.StringUtils;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
/**
* 重寫請求引數處理函式
*/
public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper {
HttpServletRequest orgRequest = null;
private boolean isIncludeRichText = false;
public XssHttpServletRequestWrapper(HttpServletRequest request, boolean isIncludeRichText) {
super(request);
orgRequest = request;
this.isIncludeRichText = isIncludeRichText;
}
/**
* 覆蓋getParameter方法，將引數名和引數值都做xss過濾.
* 如果需要獲得原始的值，則通過super.getParameterValues(name)來獲取
* getParameterNames,getParameterValues和getParameterMap也可能需要覆蓋
*/
@Override
public String getParameter(String name) {
if (("content".equals(name) || name.endsWith("WithHtml")) && !isIncludeRichText) {
return super.getParameter(name);
}
name = XssFilterUtil.clean(name);
String value = super.getParameter(name);
if (StringUtils.isNotBlank(value)) {
value = XssFilterUtil.clean(value);
}
return value;
}
@Override
public String[] getParameterValues(String name) {
String[] arr = super.getParameterValues(name);
if (arr != null) {
for (int i = 0; i < arr.length; i++) {
arr[i] = XssFilterUtil.clean(arr[i]);
}
}
return arr;
}
/**
* 覆蓋getHeader方法，將引數名和引數值都做xss過濾。<br/>
* 如果需要獲得原始的值，則通過super.getHeaders(name)來獲取<br/>
* getHeaderNames 也可能需要覆蓋
*/
@Override
public String getHeader(String name) {
name = XssFilterUtil.clean(name);
String value = super.getHeader(name);
if (StringUtils.isNotBlank(value)) {
value = XssFilterUtil.clean(value);
}
return value;
}
/**
* 獲取最原始的request
*
* @return
*/
public HttpServletRequest getOrgRequest() {
return orgRequest;
}
/**
* 獲取最原始的request的靜態方法
*
* @return
*/
public static HttpServletRequest getOrgRequest(HttpServletRequest req) {
if (req instanceof XssHttpServletRequestWrapper) {
return ((XssHttpServletRequestWrapper) req).getOrgRequest();
}
return req;
}
}複製程式碼3、新增過濾XSS請求的入口，在這裡通過XssHttpServletRequestWrapper將HttpServletRequest進行了封裝，filterChain.doFilter(xssRequest, response);保證了後續程式碼執行request.getParameter，request.getParameterValues，request.getHeader時呼叫的都是XssHttpServletRequestWrapper內重寫的方法，獲取到的引數是已經進行過標籤過濾的內容，從而消除了敏感資訊。
package com.example.demo.core.filter;
import org.apache.commons.lang3.BooleanUtils;
import org.apache.commons.lang3.StringUtils;
import javax.servlet.*;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.util.ArrayList;
import java.util.List;
import java.util.regex.Matcher;
import java.util.regex.Pattern;
/**
* @author 張瑤
* @Description: 攔截防止xss注入 通過Jsoup過濾請求引數內的特定字元
* @date 2018/5/16 20:04
*/
public class XssFilter implements Filter {
//是否過濾富文字內容
private static boolean IS_INCLUDE_RICH_TEXT = true;
public List<String> excludes = new ArrayList<>();
@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain filterChain) throws IOException, ServletException {
HttpServletRequest req = (HttpServletRequest) request;
HttpServletResponse resp = (HttpServletResponse) response;
if (handleExcludeURL(req, resp)) {
filterChain.doFilter(request, response);
return;
}
XssHttpServletRequestWrapper xssRequest = new XssHttpServletRequestWrapper((HttpServletRequest) request, IS_INCLUDE_RICH_TEXT);
filterChain.doFilter(xssRequest, response);
}
private boolean handleExcludeURL(HttpServletRequest request, HttpServletResponse response) {
if (excludes == null || excludes.isEmpty()) {
return false;
}
String url = request.getServletPath();
for (String pattern : excludes) {
Pattern p = Pattern.compile("^" + pattern);
Matcher m = p.matcher(url);
if (m.find()) {
return true;
}
}
return false;
}
@Override
public void init(FilterConfig filterConfig) throws ServletException {
String isIncludeRichText = filterConfig.getInitParameter("isIncludeRichText");
if (StringUtils.isNotBlank(isIncludeRichText)) {
IS_INCLUDE_RICH_TEXT = BooleanUtils.toBoolean(isIncludeRichText);
}
String temp = filterConfig.getInitParameter("excludes");
if (temp != null) {
String[] url = temp.split(",");
for (int i = 0; url != null && i < url.length; i++) {
excludes.add(url[i]);
}
}
}
@Override
public void destroy() {
}
}
複製程式碼四：註冊過濾器
建立core→configurer→XssFilterConfigurer
package com.example.demo.core.configurer;
import com.example.demo.core.filter.XssFilter;
import org.springframework.boot.web.servlet.FilterRegistrationBean;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import java.util.HashMap;
import java.util.Map;
/**
* @author 張瑤
* @Description:xss過濾攔截器配置檔案
* @time 2018/5/16 20:47
*/
@Configuration
public class XssFilterConfigurer {
/**
* xss過濾攔截器
*/
@Bean
public FilterRegistrationBean xssFilterRegistrationBean() {
FilterRegistrationBean filterRegistrationBean = new FilterRegistrationBean();
filterRegistrationBean.setFilter(new XssFilter());
filterRegistrationBean.setOrder(Integer.MAX_VALUE-1);
filterRegistrationBean.setEnabled(true);
filterRegistrationBean.addUrlPatterns("/*");
Map<String, String> initParameters = new HashMap();
//excludes用於配置不需要引數過濾的請求url
initParameters.put("excludes", "/favicon.ico,/img/*,/js/*,/css/*");
//isIncludeRichText主要用於設定富文字內容是否需要過濾
initParameters.put("isIncludeRichText", "true");
filterRegistrationBean.setInitParameters(initParameters);
return filterRegistrationBean;
}
}複製程式碼五：測試
路徑localhost:8080/userInfo/selectById
請求引數id=1<a href="http://www.baidu.com/a" onclick="alert("模擬XSS攻擊");">sss</a><script>alert(0);</script>sss
結果：
我們可以看到<script></script>已經被過濾掉
專案地址
碼雲地址： gitee.com/beany/mySpr…
GitHub地址： github.com/MyBeany/myS…
寫文章不易，如對您有幫助，請幫忙點下star
結尾
新增防止XSS攻擊功能已完成，後續功能接下來陸續更新，有問題可以聯絡我mr_beany@163.com。另求各路大神指點，感謝大家。