8.2 对 html 字符转义或是半角转全角字符：
{ ＂<＂, ＂>＂, ＂＂＂}
转义：
{ ＂<＂, ＂>＂, ＂＂＂})
全角：
{ ＂＜, ＂＞＂, ＂＂＂}
新场景：
页面中需要根据某个参数生成文字链接
存在问题：
a 标签的 href 属性 javascript：
其他问题：
针对 json 字符串的场景
如何公用的问题
9. XSS 漏洞预防策略最佳实践
9.1 输入环节
- 页面限制输入长度、特殊字符限制，后端代码限制输入长度、处理特殊字符
- Filter 过滤器统一处理（自定义处理规则、使用 Apache Text、使用 Owasp AntiSamy）
9.2 Cookie 防护
- cookie 设置 httponly，一般 servlet 容器默认 httponly 为 true
- resp.setHeader(＂SET-COOKIE＂, ＂JSESSIONID=＂ + request.getSession().getId()+ ＂; HttpOnly＂);
9.3 X-Frame-Options 响应头 （是否允许frame、iframe等标记）
- DENY 不允许、SAMEORIGIN 可在相同域名页面的 frame 中展示、ALLOW-FROM uri 可在指定页的 frame 中展示
- add_header X-Frame-Options SAMEORIGIN; //在nginx的 http 或 server 节点中配置即可
- 也可通过 Filter 设置 resp.setHeader(＂x-frame-options＂,＂SAMEORIGIN＂);
9.4 输出环节
- OWASP ESAPI for Java
- 显示时对字符进行转义处理，各种模板都有相关语法，注意标签的正确使用
- 示例如下：
thymeleaf
--->
JSP
--->
9.5 DOM 型 XSS
- 避免 .innerHTML、.outerHTML、document.write() 的使用，应使用 .textContent、.setAttribute() 等。
- Vue/React 技术栈，避免使用 v-html/dangerouslySetInnerHTML
- 尤其注意 onclick、onerror、onload、onmouseover 、eval()、setTimeout()、setInterval() 以及 a 标签的 href
- 可使用 OWASP esapi4js : esapi.js
10. 后端服务编码实践
通过 https://start.spring.io/ 快速创建 springboot 应用：
解压并在 IDEA 导入刚刚创建的 xss-demo 项目
在 pom.xml 添加相关依赖：
org.owasp.antisamy
antisamy
1.5.7
com.alibaba
fastjson
1.2.62
修改 xss-demo 工程包结构如下：
XSSFilter 编码如下：
/**
* @program: xss-demo
* @author: Mr.Zhang
* @create: 2021-02-21 15:45
**/
public class XssFilter implements Filter {
@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
HttpServletRequest httpServletRequest = (HttpServletRequest) request;
HttpServletRequest req = (HttpServletRequest) request;
String path = req.getServletPath();
//注解配置的是urlPatterns=＂/*＂(过滤所有请求),所以这里对不需要过滤的静态资源url,作忽略处理(大家可以依照具体需求配置)
String[] exclusionsUrls = {＂.js＂, ＂.gif＂, ＂.jpg＂, ＂.png＂, ＂.css＂, ＂.ico＂};
for (String str : exclusionsUrls) {
if (path.contains(str)) {
chain.doFilter(request, response);
return;
}
}
chain.doFilter(new XssRequestWrapper(httpServletRequest), response);
}
}
XssRequestWrapper 包装类编码如下：
/**
* @program: xss-demo
* @author: Mr.Zhang
* @create: 2021-02-21 15:46
**/
@Slf4j
public class XssRequestWrapper extends HttpServletRequestWrapper {
public XssRequestWrapper(HttpServletRequest request) {
super(request);
}
/**
* 获取策略文件，直接使用jar中自带的ebay策略文件
*/
private static InputStream inputStream = XssRequestWrapper.class.getClassLoader()
.getResourceAsStream(＂antisamy-ebay.xml＂);
private static Policy policy = null;
static {
try {
// 使用静态代码块处理策略对象的创建
policy = Policy.getInstance(inputStream);
} catch (PolicyException e) {
e.printStackTrace();
}
}
/**
* 使用AntiSamy进行过滤数据
* @param html
* @return
*/
private String xssClean(String html) {
String cleanHTML = ＂＂;
try {
AntiSamy antiSamy = new AntiSamy();
CleanResults scan = antiSamy.scan(html, policy);
cleanHTML = scan.getCleanHTML();
} catch (ScanException e) {
e.printStackTrace();
} catch (PolicyException e) {
e.printStackTrace();
}
return cleanHTML;
}
/**
* 重写处理请求参数的方法
* @param name
* @return
*/
@Override
public String[] getParameterValues(String name) {
String[] values = super.getParameterValues(name);
// 判断参数有值，如果没有值，直接返回
if (values == null) {
return null;
}
// 遍历参数数组，使用AntiSamy进行过滤
int len = values.length;
String[] newValues = new String[len];
for (int i = 0; i < len; i++) {
// 过滤前的数据
log.info(＂使用AntiSamy进行过滤清理，过滤清理之前的数据：{}＂, values[i]);
// 进行过滤
newValues[i] = xssClean(values[i]);
// 过滤后的数据
log.info(＂使用AntiSamy进行过滤清理，过滤清理之后的数据：{}＂, newValues[i]);
}
//返回过滤后的结果
return newValues;
}
/**
* 重写处理json数据的方法
* @return
* @throws IOException
*/
@Override
public ServletInputStream getInputStream() throws IOException {
// 读取流
BufferedReader reader = new BufferedReader(
new InputStreamReader(super.getInputStream(), ＂UTF-8＂));
// 获取json格式的数据
StringBuilder sb = new StringBuilder();
String inputStr;
while ((inputStr = reader.readLine()) != null) {
sb.append(inputStr);
}
// 把json转为map
Map map = JSON.parseObject(sb.toString(), Map.class);
// 过滤前
log.info(＂json过滤前:{}＂, sb.toString());
// 对map中的value值进行AntiSamy的过滤
map.keySet().forEach(k -> {
map.put(k, xssClean(map.get(k).toString()));
});
// 过滤后
String json = JSON.toJSONString(map);
log.info(＂json过滤后:{}＂, json);
// 把json数据转为流的格式进行返回
ByteArrayInputStream bais = new ByteArrayInputStream(json.getBytes());
return new ServletInputStream() {
@Override
public boolean isFinished() {
return false;
}
@Override
public boolean isReady() {
return false;
}
@Override
public void setReadListener(ReadListener listener) { }
@Override
public int read() throws IOException {
return bais.read();
}
};
}
}
AntiSamyConfig 配置过滤器类编码如下：
/**
* @program: xss-demo
* @author: Mr.Zhang
* @create: 2021-02-21 15:58
**/
@Configuration
public class AntiSamyConfig {
/**
* 配置xss过滤器
* @return
*/
@Bean
public FilterRegistrationBean create() {
FilterRegistrationBean filterRegistrationBean = new FilterRegistrationBean(new XssFilter());
filterRegistrationBean.addUrlPatterns(＂/*＂);
filterRegistrationBean.setOrder(1);
return filterRegistrationBean;
}
}
User 实体类：
/**
* @program: xss-demo
* @author: Mr.Zhang
* @create: 2021-02-21 15:42
**/
@Data
public class User {
private int id;
private String name;
private int age;
}
UserController 测试控制器类编码如下：
/**
* @program: xss-demo
* @author: Mr.Zhang
* @create: 2021-02-21 15:43
**/
@Slf4j
@RestController
@RequestMapping(＂user＂)
public class UserController {
/**
* 表单
* @param user
* @return
*/
@PostMapping(＂save＂)
public String save(User user) {
log.info(＂name={}, age={}＂, user.getName(), user.getAge());
return JSON.toJSONString(user);
}
/**
* json数据格式请求体
* @param user
* @return
*/
@PostMapping(＂json＂)
public String saveJson(@RequestBody User user) {
log.info(＂user={}＂, user.toString());
return JSON.toJSONString(user);
}
}
application.properties 配置文件为空，运行启动类后默认端口号8080。
Postman 模拟表单数据请求及响应效果如下：
后端程序控制台日志打印如下：
Postman 模拟 json 数据请求及响应效果如下：
后端程序控制台日志打印如下：
以上两个情况，请求参数中隐藏的 xss 攻击代码被过滤器过滤后再进入 Contrlloer 层处理。
11. 能不能根本上解决问题，即浏览器自动禁止外部注入恶意脚本？
开启 CSP （内容安全策略 Content Security Policy）方法：设置 HTTP 的 头部字段
resp.setHeader(＂Content-Security-Policy＂,＂default-src http: https:＂);
设置网页的标签
CSP 常见可选策略设置如下：
策略 | 含义 |
default-src http: https: ； | 只能通过外联的方式引用 js 和 css |
default-src ＂self＂ http://smart4j.cn/； | 只能在指定的域下加载文件（包含 img） |
form-action ＂self＂＂； | form 表单的只能在指定域提交 |
script-src ＂self＂; | 只限制 js 文件在同域加载文件 |
report-uri /report; | 向指定uri发送违规报告（不支持 meta 方式） |
本文转载自码上修行
今日职位推荐：
前端开发主管
要求：
1. 本科及以上学历，软件技术、计算机科学与技术、电子工程等相关专业，5年及以上前端开发经验
2. 精通Vue/JQuery等JS框架，HTML/HTML5/CSS3/JavaScript，熟练使用uniapp
3. 具备浏览器开发调试技能，能分析解决问题
4. 掌握Web前端构建工具，能够运用构建工具
5. 具有基于VUE 低代码开发经验
办公地址：苏州市吴中区
薪资范围：20k-25k
投递方式：Freemen App中定位苏州搜索前端开发主管
