Springboot XSS過濾詳解

XSS（Cross-site scripting）跨站腳本攻擊是一種常見的Web攻擊，攻擊者往Web頁面里插入惡意的腳本代碼，使得用戶在瀏覽頁面或提交表單的時候，執行惡意腳本，從而達到攻擊目的。為了防止XSS攻擊，Springboot提供了多種方式去過濾用戶輸入的數據，保證系統的安全穩定。

一、 Springboot過濾器

1、過濾器介紹

過濾器是用於攔截請求與響應，可以用於URL、Servlet、JSP、靜態文件等資源的攔截。Springboot的過濾器實現了javax.servlet.Filter介面，提供了過濾器的常見功能，是一種非常常用的過濾方式。

2、過濾器示例

在Springboot中，過濾器是通過@Bean把過濾器加入到過濾器鏈中的，可以通過註解@WebFilter實現。以下示例會構建一個過濾器，對所有請求進行XSS過濾：

@WebFilter(urlPatterns = "/*", filterName = "xssFilter")
public class XssFilter implements Filter {
  @Override
  public void init(FilterConfig filterConfig) throws ServletException { }
  
  @Override
  public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
    chain.doFilter(new XssHttpServletRequestWrapper((HttpServletRequest) request), response);
  }
  
  @Override
  public void destroy() { }
}

在過濾器中，我們通過構建XssHttpServletRequestWrapper來過濾請求。這個Wrapper里重寫了getParameter方法，對請求中的參數進行了過濾。XssHttpServletRequestWrapper的實現如下：

public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper {
  public XssHttpServletRequestWrapper(HttpServletRequest request) {
    super(request);
  }

  @Override
  public String getParameter(String name) {
    String value = super.getParameter(name);
    if (value == null) {
        return null;
    }
    return HtmlUtils.htmlEscape(value);
  }
}

在getParameter方法中，我們使用了org.springframework.web.util.HtmlUtils的htmlEscape方法對請求參數進行了過濾，把所有的HTML標籤都轉換成了實體，防止了XSS攻擊。

二、 Springboot註解

1、註解介紹

Springboot通過註解的方式來處理XSS過濾，可以直接在Controller層的方法參數上使用@Validated註解，在參數中使用@NotBlank或其他JSR303註解，並配合@RequestBody、@RequestParam可以過濾掉所有HTML標籤，非常方便易用。

2、註解示例

以下例子演示了如何使用@RequestBody和@RequestParam結合JSR303註解來實現對控制器請求參數的過濾：

@RestController
public class UserController {
    @PostMapping("/user")
    public void addUser(@Validated @RequestBody UserDTO userDTO) {
        // Todo
    }
    
    @GetMapping("/users")
    public List getUsers(@RequestParam @NotBlank String name) {
        // Todo
    }
}

在addUser方法中，我們使用了@Validated註解，同時在UserDTO的name欄位上使用了@NotBlank註解，來實現對請求參數的過濾。在getUsers方法中，我們也顯示的用@RequestParam聲明了參數name，並使用了@NotBlank註解來過濾請求。

三、Springboot過濾器加上自定義註解

1、自定義註解介紹

自定義註解可以讓我們更好的管理XSS過濾，使得代碼更加可讀、易用、易維護，可以在Springboot過濾器的基礎上添加自定義註解，來實現更加靈活的過濾。

2、自定義註解示例

以下代碼演示了如何在過濾器中添加自定義註解：

@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
public @interface XssSecurity {
     String[] excludes() default {};
}

@Aspect
@Component
public class XssSecurityAspect {
  private static final Logger logger = LoggerFactory.getLogger(XssSecurityAspect.class);

  @Pointcut("@annotation(cn.example.demo.annotation.XssSecurity)")
  public void xssPointCut() {
  }

  @Before("xssPointCut() && @annotation(xssSecurity)")
  public void doBefore(JoinPoint joinPoint, XssSecurity xssSecurity) throws Throwable {
    ServletRequestAttributes servletRequestAttributes = (ServletRequestAttributes) RequestContextHolder.getRequestAttributes();
    if (servletRequestAttributes == null) {
        return;
    }
    HttpServletRequest request = servletRequestAttributes.getRequest();
    if (checkUrlExclude(request.getRequestURI(), xssSecurity.excludes())) {
        return;
    }
    XssHttpServletRequestWrapper xssRequest = new XssHttpServletRequestWrapper(request);
    request.setAttribute("body", xssRequest.getBody());
    for (Object arg : joinPoint.getArgs()) {
        if (arg instanceof XssHttpServletRequestWrapper || arg instanceof MultipartFile) {
            continue;
        }
        Object o = xssSecurity(xssRequest, arg);
        Method method = reflectMethod(joinPoint, arg);
        if (null != method) {
            method.invoke(joinPoint.getTarget(), o);
        }
    }
  }

  public Object xssSecurity(HttpServletRequest request, Object param) {
    if (param == null) {
        return null;
    }
    if (param instanceof String) {
        return HtmlUtils.htmlEscape((String) param);
    } else if (param instanceof Map) {
        Map