Spring Boot XSS 防禦

Spring Boot 是一個常用的 Java 開發框架，它通過簡化應用程序的開發來提高開發者的生產效率。然而，隨著互聯網的不斷發展，Web 應用程序成為了黑客攻擊的對象，而跨站腳本攻擊（XSS）是其中比較常見和危險的一種攻擊方式。為了保證 Web 應用程序的安全性，本文將介紹 Spring Boot 中防禦 XSS 攻擊的方法。

一、XSS 攻擊的原理

XSS（Cross-Site Scripting），又稱跨站腳本攻擊，指黑客將惡意腳本注入到網頁中，使得用戶的瀏覽器在解析網頁時執行該腳本，從而獲取用戶的敏感信息或實施其他攻擊。由於使用 Web 應用程序的用戶很多，因此一旦 XSS 攻擊成功，其破壞效果將非常嚴重。

XSS 攻擊主要分為兩種：反射型和存儲型。反射型攻擊是攻擊者將惡意腳本發給用戶，用戶點擊後將惡意腳本發送給伺服器，伺服器把腳本反射給用戶，用戶的瀏覽器解析並執行該腳本，造成攻擊。而存儲型攻擊，則是攻擊者將惡意腳本存儲到伺服器，用戶通過訪問包含惡意腳本的頁面來執行該腳本，造成攻擊。

二、防禦 XSS 攻擊的方法

1. 防止用戶輸入的 HTML、JS 等字元被伺服器解釋

第一種方法是針對存儲型攻擊，防止黑客將惡意腳本存儲到伺服器。我們可以對用戶提交的數據進行 HTML 實體化處理，將所有的 HTML、JS 等字元轉換為對應的字元實體，這樣伺服器就不會將其解釋為 HTML 代碼或腳本了。

/**
 * 將用戶輸入的字元轉化為 HTML 實體
 */
public static String htmlEntity(String source) {
    if (source == null) {
        return null;
    }
    return source.replaceAll("", ">")
                 .replaceAll("\"", """)
                 .replaceAll("'", "'")
                 .replaceAll("&", "&");
}

在處理用戶提交的表單數據時，調用 htmlEntity 方法即可實現字元實體轉換。

2. 在輸出 HTML、JS 等字元時進行轉義

第二種方法是針對反射型攻擊，防止黑客將惡意腳本反射給用戶。我們可以在伺服器輸出 HTML、JS 等字元時，對其進行轉義，將特殊字元轉換為 HTML 實體或 JS 轉義字元。這樣用戶的瀏覽器就不會將其解析為腳本了。

/**
 * 將輸出內容進行轉義
 */
public static String escape(String source) {
    if (source == null) {
        return null;
    }
    StringBuilder sb = new StringBuilder();
    for (int i = 0; i ':
                sb.append(">");
                break;
            case '<':
                sb.append("<");
                break;
            case '&':
                sb.append("&");
                break;
            case '\'':
                sb.append("'");
                break;
            case '\"':
                sb.append(""");
                break;
            case '\\':
                sb.append("\\\\");
                break;
            case '/':
                sb.append("\\/");
                break;
            default:
                sb.append(c);
        }
    }
    return sb.toString();
}

在輸出 HTML、JS 等字元時，調用 escape 方法即可實現轉義。

3. 使用 CSP（內容安全策略）

CSP（Content Security Policy）是 HTML5 中新增加的 Web 安全策略，它通過設置特定的 HTTP 頭部或 HTML meta 標籤，來告知瀏覽器哪些外部資源可以載入和執行，從而有效地防止 XSS 攻擊。常用的 CSP 策略包括：指定允許執行的腳本地址、不允許執行內聯 JavaScript 和 Eval、限制載入的外部資源類型等等。

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.headers().contentSecurityPolicy("default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self'; connect-src 'self'; font-src 'self';");
    }
}

在 Spring Boot 項目中，可以通過在 WebSecurityConfigurerAdapter 的 configure 方法中指定 contentSecurityPolicy 來設置 CSP 策略。上述代碼的含義是：默認情況下只允許載入本站的資源；允許載入本站的 JavaScript 腳本和內聯腳本；允許載入本站的樣式表和內聯樣式；允許載入本站的圖片；允許與本站建立連接；允許載入本站的字體。

4. 使用 HttpOnly Cookie

HttpOnly Cookie 是一種用來防止 XSS 攻擊的 Cookie，它的特點是只能被伺服器讀取，瀏覽器無法通過 JavaScript 訪問。這樣一來，攻擊者就無法通過注入惡意腳本獲取用戶的 Cookie，進而實施 XSS 攻擊了。

/**
 * 使用 HttpOnly Cookie
 */
Cookie cookie = new Cookie("name", "value");
cookie.setHttpOnly(true);
response.addCookie(cookie);

在使用 Cookie 時，只需將其 setHttpOnly 方法設置為 true 即可開啟 HttpOnly 模式。

5. 使用 XSS 過濾器

在 Spring Boot 中，我們可以使用 XSS 過濾器來對輸入和輸出的數據進行過濾，從而保證 Web 應用程序的安全性。下面是一段使用 XssFilter 過濾器的示例代碼：

@Bean
public FilterRegistrationBean xssFilterRegistration() {
    FilterRegistrationBean registration = new FilterRegistrationBean();
    registration.setFilter(new XssFilter());
    registration.addUrlPatterns("/*");
    registration.setName("xssFilter");
    registration.setOrder(1);
    return registration;
}

上述代碼的含義是：創建一個名為 xssFilter 的過濾器，指定其處理的 URL 模式為所有 URL，將其添加到過濾鏈中，並設置其執行順序為第一位。這樣一來，每個請求的輸入和輸出數據都會經過 XssFilter 過濾器的處理，從而有效地防禦 XSS 攻擊。

三、總結

本文介紹了 Spring Boot 中防禦 XSS 攻擊的五種方法，包括對用戶輸入的 HTML、JS 等字元進行 HTML 實體化、在輸出 HTML、JS 等字元時進行轉義、使用 CSP、使用 HttpOnly Cookie 和使用 XSS 過濾器。這些方法不僅在 Spring Boot 中適用，也可以應用到其他 Java Web 開發框架中，幫助開發者保證 Web 應用程序的安全性。