XssFilter使用记录

2023-01-08 120

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： xss意思是跨域网站攻击，这里不探讨xss的起源，单纯记录下xss在项目中的实际应用，xss防止javascrpts脚本注入类似于sql注入，项目中使用到了xssfilter所以记录在此

什么是Xss

xss意思是跨域网站攻击，这里不探讨xss的起源，单纯记录下xss在项目中的实际应用，xss防止javascrpts脚本注入类似于sql注入，项目中使用到了xssfilter所以记录在此

XssFilter这个过滤器到底过滤什么

具体过滤什么无非就是httpservletrequest中的请求参数所携带的信息，网站所接收的请求里包含的信息并不明确，在被攻击的情况下可能会携带很多恶意信息，对网站的攻击，所以一个安全的网站xss这块是必须要处理的。

1.写一个自己的XssFilter:加入注释@WebFilter,给参数filtername与urlpatterns 进行赋值，第一处的filtername应该没啥用，因为在boot的启动类上添加@ServletComponentScan注解后可以将所有的servlet、filter、listener全部注入到ioc容器中（毕竟三者本质都是servlet）。第二处的urlpatterns就很重要了，这里配置拦截的地址，/* 代表拦截所有请求，但是很多的静态资源访问其实并不需要拦截。

2.去除静态资源的拦截：

      String[] exclusionsUrls = {".js",".gif",".jpg",".png",".css",".ico"};
      for (String str : exclusionsUrls) {
          if (path.contains(str)) {
              exclusionsUrls = null;
              filterChain.doFilter(servletRequest,servletResponse);
              return;
          }
      }

3.**其他资源的请求自然都会被XssFiter过滤掉，自定义一个XssHttpServletRequestWraper,继承自HttpServletRequestWraper，在这里重写HttpServletRequst的各种方法，用于对请求参数的过滤。

filterChain.doFilter(new XssHttpServletRequestWrapper(request),servletResponse);

@Override
    public String getHeader(String name) {
        return XssFilterUtil.filterString(super.getHeader(name));
    }
    @Override
    public String getQueryString() {
        return XssFilterUtil.filterString(super.getQueryString());
    }
    @Override
    public String getParameter(String name) {
        return XssFilterUtil.filterString(super.getParameter(name));
    }

@Override
    public String getHeader(String name) {
        return XssFilterUtil.filterString(super.getHeader(name));
    }
    @Override
    public String getQueryString() {
        return XssFilterUtil.filterString(super.getQueryString());
    }
    @Override
    public String getParameter(String name) {
        return XssFilterUtil.filterString(super.getParameter(name));
    }