Spring?Boot項目抵御XSS攻擊實戰(zhàn)過程

更新時間：2022年11月26日 09:06:30 作者：abcccccccccccccccode

XSS攻擊又稱跨站腳本攻擊,通常指利用網(wǎng)頁開發(fā)時留下的漏洞,通過巧妙的方法注入惡意指令代碼到網(wǎng)頁,使用戶加載并執(zhí)行攻擊者惡意制造的網(wǎng)頁程序,下面這篇文章主要給大家介紹了關于Spring?Boot項目抵御XSS攻擊的相關資料,需要的朋友可以參考下

前言

作為Web網(wǎng)站來說，抵御XSS攻擊是必須要做的事情，這是非常常見的黑客攻擊手段之一。

一、什么是XSS攻擊

XSS意思是跨站腳本攻擊，英文全稱Cross Site Scripting，為了不和層疊樣式表(Cascading Style Sheets, CSS)的縮寫混淆，故將跨站腳本攻擊縮寫為XSS。

XSS攻擊的手段很簡單，就是通過各種手段向我們的Web網(wǎng)站植入JS代碼。比如說普通網(wǎng)站的用戶注冊、論壇網(wǎng)站的發(fā)帖和回帖，以及電商網(wǎng)站的商品評價等等，黑客在文本框中填寫的文字信息里面包含一段JS代碼，那么前端頁面在顯示這個信息的時候，就會執(zhí)行這些JS代碼了。

如下我是我在CSDN評論區(qū)評論的消息，如果CSDN沒有做XSS防御的話，將來某個用戶翻到這個評論的話，這時候<script>標簽就會被當做JS腳本來執(zhí)行了，用戶瀏覽器就會彈出HelloWorld這樣的文字。

這只是比較簡單的腳本語句，如果黑客植入的JS腳本先讀取瀏覽器的Cookie信息，然后把Cookie通過Ajax發(fā)送給黑客的服務器，那么遠端的黑客就能用你的Cookie來模擬登陸，這后果是非常嚴重的。

二、如何抵御XSS攻擊

防御XSS攻擊的辦法很簡單，那就是對所有用戶的數(shù)據(jù)先做轉義處理，然后再保存到數(shù)據(jù)庫里面。轉義之后的信息，將來被加載到網(wǎng)頁上面就喪失了作為腳本執(zhí)行的能力。

比如說上面文本框里面的腳本，經(jīng)過轉義之后就變成了<script>alert("HelloWorld")</script>這個樣子。就拿<script>來說吧，它會被渲染成<script>字符串，而不是當做腳本標簽來執(zhí)行。

如果我們能修改請求類的內容，那么我們只需要修改獲取請求數(shù)據(jù)的函數(shù)，使得返回的數(shù)據(jù)并不是客戶端Form表單或者Ajax提交的數(shù)據(jù)，而是經(jīng)過轉義之后數(shù)據(jù)。

但是在Web項目中，我們無法修改HttpServletRequest實現(xiàn)類的內容，因為請求的實現(xiàn)類是由各個Web容器廠商自己擴展的。但是有時候我們還想修改請求類中的內容，這該怎么辦呢？

不用擔心，Java語言給我們留出了缺口，我們只要繼承Java Web內置的HttpServletRequestWrapper父類，就能修改請求類的內容。

接下來，我們正式開始在Spring Boot項目中實現(xiàn)抵御XSS攻擊！

三、實現(xiàn)抵御XSS攻擊

首先我們要創(chuàng)建一個執(zhí)行轉義的封裝類XssHttpServletRequestWrapper，這個類繼承HttpServletRequestWrapper父類。在這個類中我們需要把獲取請求頭和請求體數(shù)據(jù)的方法都要重寫，返回的是經(jīng)過XSS轉義后的數(shù)據(jù)。

這里我們使用HtmlUtil.cleanHtmlTag()清除所有HTML標簽，但是保留標簽內的內容，達到轉義的效果。

import cn.hutool.core.util.StrUtil;
import cn.hutool.http.HtmlUtil;
import cn.hutool.json.JSONUtil;

import javax.servlet.ReadListener;
import javax.servlet.ServletInputStream;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
import java.io.*;
import java.nio.charset.Charset;
import java.util.LinkedHashMap;
import java.util.Map;

public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper {
    public XssHttpServletRequestWrapper(HttpServletRequest request) {
        super(request);
    }

    @Override
    public String getParameter(String name) {
        String value = super.getParameter(name);
        if (!StrUtil.hasEmpty(value)) {
            value = HtmlUtil.cleanHtmlTag(value);
        }
        return value;
    }

    @Override
    public String[] getParameterValues(String name) {
        String[] values = super.getParameterValues(name);
        if (values != null) {
            for (int i = 0; i < values.length; i++) {
                String value = values[i];
                if (!StrUtil.hasEmpty(value)) {
                    value = HtmlUtil.cleanHtmlTag(value);
                }
                values[i] = value;
            }
        }
        return values;
    }

    @Override
    public Map<String, String[]> getParameterMap() {
        Map<String, String[]> parameters = super.getParameterMap();
        LinkedHashMap<String, String[]> map = new LinkedHashMap();
        if (parameters != null) {
            for (String key : parameters.keySet()) {
                String[] values = parameters.get(key);
                for (int i = 0; i < values.length; i++) {
                    String value = values[i];
                    if (!StrUtil.hasEmpty(value)) {
                        value = HtmlUtil.cleanHtmlTag(value);
                    }
                    values[i] = value;
                }
                map.put(key, values);
            }
        }
        return map;
    }

    @Override
    public String getHeader(String name) {
        String value = super.getHeader(name);
        if (!StrUtil.hasEmpty(value)) {
            value = HtmlUtil.cleanHtmlTag(value);
        }
        return value;
    }

    @Override
    public ServletInputStream getInputStream() throws IOException {
        InputStream in = super.getInputStream();
        InputStreamReader reader = new InputStreamReader(in, Charset.forName("UTF-8"));
        BufferedReader buffer = new BufferedReader(reader);
        StringBuffer body = new StringBuffer();
        String line = buffer.readLine();
        while (line != null) {
            body.append(line);
            line = buffer.readLine();
        }
        buffer.close();
        reader.close();
        in.close();
        Map<String, Object> map = JSONUtil.parseObj(body.toString());
        Map<String, Object> result = new LinkedHashMap<>();
        for (String key : map.keySet()) {
            Object val = map.get(key);
            if (val instanceof String) {
                if (!StrUtil.hasEmpty(val.toString())) {
                    result.put(key, HtmlUtil.cleanHtmlTag(val.toString()));
                }
            } else {
                result.put(key, val);
            }
        }
        String json = JSONUtil.toJsonStr(result);
        ByteArrayInputStream bain = new ByteArrayInputStream(json.getBytes());
        return new ServletInputStream() {
            @Override
            public int read() throws IOException {
                return bain.read();
            }

            @Override
            public boolean isFinished() {
                return false;
            }

            @Override
            public boolean isReady() {
                return false;
            }

            @Override
            public void setReadListener(ReadListener readListener) {

            }
        };
    }
}

接下來我們要創(chuàng)建一個Filter類XssFilter，攔截所有的HTTP請求，然后調用上面創(chuàng)建的XssHttpServletRequestWrapper類，這樣就能按照我們設定的方式獲取請求中的數(shù)據(jù)了。

import javax.servlet.*;
import javax.servlet.annotation.WebFilter;
import javax.servlet.http.HttpServletRequest;
import java.io.IOException;

@WebFilter(urlPatterns = "/*")
public class XssFilter implements Filter {
    @Override
    public void init(FilterConfig filterConfig) throws ServletException {

    }

    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
        HttpServletRequest request = (HttpServletRequest) servletRequest;
        XssHttpServletRequestWrapper wrapper = new XssHttpServletRequestWrapper(request);
        filterChain.doFilter(wrapper, servletResponse);
    }

    @Override
    public void destroy() {

    }
}

在以上代碼中我們使用了Hutool工具庫中的一些方法