Web 应用的安全性是现代软件开发中不可忽视的重要组成部分。Struts 2 框架虽然功能强大，但在安全性方面也需要开发者采取适当的措施来防止各种潜在威胁。本文将通过一系列案例来探讨如何在 Struts 2 应用中实施防范常见 Web 攻击的最佳实践，包括跨站脚本攻击（XSS）、SQL 注入、跨站请求伪造（CSRF）以及权限管理等方面的内容。
首先，了解跨站脚本攻击（XSS）。XSS 攻击是指攻击者通过注入恶意脚本到看似可信的网站，当其他用户浏览该网站时，这些恶意脚本就会被执行。在 Struts 2 中，可以使用 S2-005 漏洞修复所提供的 <s:property> 标签来自动转义输出内容，防止 XSS 攻击。
<%@ taglib prefix="s" uri="/struts-tags" %>
...
<s:property value="userInput" />
上述代码中，<s:property> 标签会自动转义 HTML 实体，从而防止用户输入的内容包含恶意脚本。此外，还可以通过配置 struts.devMode 参数来启用开发模式，这将增加额外的安全检查。
接下来，关注 SQL 注入攻击。SQL 注入是一种常见的攻击手段，攻击者通过在输入字段中插入恶意 SQL 代码来操纵数据库。为了避免这种情况，应尽量避免使用字符串拼接的方式来构造 SQL 语句，而是采用参数化的查询方式。在 Hibernate 中，可以使用命名参数来防止 SQL 注入。
Session session = HibernateUtil.getSessionFactory().openSession();
String hql = "FROM User WHERE username = :username AND password = :password";
Query query = session.createQuery(hql);
query.setParameter("username", "admin");
query.setParameter("password", "secret");
List<User> users = query.list();
上述代码展示了如何使用命名参数来安全地传递变量值，从而避免 SQL 注入的风险。
另一个常见的攻击类型是跨站请求伪造（CSRF）。CSRF 攻击是指攻击者诱导受害者在已认证的状态下发送恶意请求到受信任的网站。为了防御 CSRF 攻击，Struts 2 提供了内置的拦截器来保护敏感操作。在 struts.xml 文件中，可以配置 CsrfInterceptor 来要求每个 POST 请求都携带一个唯一的令牌。
<interceptors>
<interceptor name="csrf" class="org.apache.struts2.interceptor.CsrfInterceptor"/>
</interceptors>
<default-interceptor-ref name="csrf"/>
上述配置将全局启用 CSRF 保护。在表单中，需要添加一个隐藏字段来存储这个令牌。
<s:form action="secureAction" method="post">
<s:token name="csrfToken"/>
...
</s:form>
此外，权限管理也是确保应用安全性的关键因素之一。Struts 2 通过 AuthorizationInterceptor 提供了权限验证机制。可以在 struts.xml 中配置拦截器栈来实现基于角色的访问控制。
<package name="secured" namespace="/" extends="struts-default">
<interceptors>
<interceptor-stack name="securedStack">
<interceptor-ref name="chain"/>
<interceptor-ref name="authc"/>
</interceptor-stack>
</interceptors>
<action name="secureAction" class="com.example.SecureAction">
<interceptor-ref name="securedStack"/>
<result name="success">/secure.jsp</result>
</action>
</package>
上述配置创建了一个包含认证拦截器的拦截器栈，并将其应用于 secureAction。在 SecureAction 类中，可以通过重写 isAllowed 方法来实现自定义的权限检查逻辑。
package com.example;
import com.opensymphony.xwork2.ActionSupport;
import com.opensymphony.xwork2.interceptor.MethodFilterInterceptor;
public class SecureAction extends ActionSupport {
@Override
public boolean isAllowed(MethodFilterInterceptor invoker, String methodName) {
// 实现自定义的权限验证逻辑
return currentUserHasPermission();
}
public String execute() {
// 业务逻辑
return SUCCESS;
}
}
通过上述示例，可以看到在 Struts 2 中实施安全措施的具体方法。从防止 XSS 和 SQL 注入到抵御 CSRF 攻击，再到实现严格的权限管理，每一步都需要开发者细心规划和实施。掌握了这些知识后，开发者就能够构建出更加安全可靠的 Web 应用程序，从而为用户提供更好的保护。
