java 框架可以通过多种方式防御 xss 攻击：过滤用户输入，删除或转义潜在恶意字符。转义用户输出，防止其被解释为代码。启用框架内置的 xss 防御工具，如 spring security 的 xss 过滤器。
Java 框架防御 XSS 攻击
跨站点脚本 (XSS) 攻击是一种常见且危险的攻击，它使攻击者可以在用户浏览器中执行任意代码。Java 框架可以通过多种方法来防止 XSS 攻击，本文将介绍一些最流行的方法。
1. 过滤输入
立即学习“Java免费学习笔记（深入）”；
最基本的防御措施是对用户输入进行过滤，删除或转义任何可能包含恶意脚本的字符。Java 框架提供了多种内置方法来执行此操作，例如 HttpServletRequest.getParameter("name").replace("<", "。
2. 转义输出
在显示用户输入之前，将其转义到 HTML 中非常重要，以防止它被解释为代码。Java 框架提供了 HtmlUtils.htmlEscape("name") 这样的方法来实现此目的。
3. 使用框架内置工具
许多 Java 框架提供内置工具来防御 XSS 攻击。例如，Spring Security 框架包含一个 XSS 过滤器，可以在应用程序中自动启用。
实战案例
以下代码片段展示了如何使用 Spring Security 过滤器防御 XSS 攻击：
WebSecurityConfig.java
@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
@Autowired
private XssFilter xssFilter;
@Override
protected void configure(HttpSecurity http) {
http
.addFilterBefore(xssFilter, CsrfFilter.class);
}
}
XssFilter.java
@Component
@WebFilter(filterName = "XssFilter", urlPatterns = {"/*"})
public class XssFilter implements Filter {
@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
HttpServletRequest httpRequest = (HttpServletRequest) request;
HttpServletResponse httpResponse = (HttpServletResponse) response;
// 过滤请求参数
Map<String, String[]> parameterMap = new HashMap<>();
for (String name : httpRequest.getParameterMap().keySet()) {
String value = HttpUtils.htmlEscape(httpRequest.getParameter(name));
parameterMap.put(name, new String[] { value });
}
httpRequest.getParameterMap().clear();
httpRequest.getParameterMap().putAll(parameterMap);
// 过滤响应内容
ServletOutputStream out = httpResponse.getOutputStream();
ServletOutputStreamWrapper wrapper = new ServletOutputStreamWrapper(out) {
@Override
public void write(byte[] b, int off, int len) throws IOException {
String content = new String(b, off, len);
content = HttpUtils.htmlEscape(content);
super.write(b, off, len);
}
};
httpResponse.getOutputStream() = wrapper;
chain.doFilter(request, response);
}
} 
