国产成人精品久久免费动漫-国产成人精品天堂-国产成人精品区在线观看-国产成人精品日本-a级毛片无码免费真人-a级毛片毛片免费观看久潮喷

您的位置:首頁技術文章
文章詳情頁

JSP使用過濾器防止Xss漏洞

瀏覽:269日期:2022-06-07 14:50:39

在用java進行web業務開發的時候,對于頁面上接收到的參數,除了極少數是步可預知的內容外,大量的參數名和參數值都是不會出現觸發Xss漏洞的字符。而通常為了避免Xss漏洞,都是開發人員各自在頁面輸出和數據入庫等地方加上各種各樣的encode方法來避免Xss問題。而由于開發人員的水平不一,加上在編寫代碼的過程中安全意識的差異,可能會粗心漏掉對用戶輸入內容進行encode處理。針對這種大量參數是不可能出現引起Xss和SQL注入漏洞的業務場景下,因此可以使用一個適用大多數業務場景的通用處理方法,犧牲少量用戶體驗,來避免Xss漏洞和SQL注入。

那就是利用Servlet的過濾器機制,編寫定制的XssFilter,將request請求代理,覆蓋getParameter和getHeader方法將參數名和參數值里的指定半角字符,強制替換成全角字符。使得在業務層的處理時不用擔心會有異常輸入內容。

XssFilter.java

package filter;
 
import java.io.IOException;
 
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
 
public class XssFilter implements Filter {
 
 public void init(FilterConfig config) throws ServletException {
 }
 
 public void doFilter(ServletRequest request, ServletResponse response,
 FilterChain chain) throws IOException, ServletException 
 {
 XssHttpServletRequestWrapper xssRequest = new XssHttpServletRequestWrapper(
 (HttpServletRequest) request);
 chain.doFilter(xssRequest, response);
}
 
 public void destroy() {
 }
}

XssHttpServletRequestWrapper.java

package filter;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
 
public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper {
 HttpServletRequest orgRequest = null;
 
 public XssHttpServletRequestWrapper(HttpServletRequest request) {
 super(request);
 orgRequest = request;
 }
 
 /**
 * 覆蓋getParameter方法,將參數名和參數值都做xss過濾。<br/>
 * 如果需要獲得原始的值,則通過super.getParameterValues(name)來獲取<br/>
 * getParameterNames,getParameterValues和getParameterMap也可能需要覆蓋
 */
 @Override
 public String getParameter(String name) {
 String value = super.getParameter(xssEncode(name));
 if (value != null) {
 value = xssEncode(value);
 }
 return value;
}
 
/**
 * 覆蓋getHeader方法,將參數名和參數值都做xss過濾。<br/>
 * 如果需要獲得原始的值,則通過super.getHeaders(name)來獲取<br/>
 * getHeaderNames 也可能需要覆蓋
*/
 @Override
 public String getHeader(String name) {
 
 String value = super.getHeader(xssEncode(name));
 if (value != null) {
 value = xssEncode(value);
 }
 return value;
}
 
/**
 * 將容易引起xss漏洞的半角字符直接替換成全角字符
 *
 * @param s
 * @return
*/
private static String xssEncode(String s) {
if (s == null || s.isEmpty()) {
return s;
}
 StringBuilder sb = new StringBuilder(s.length() + 16);
 for (int i = 0; i < s.length(); i++) {
 char c = s.charAt(i);
 switch (c) {
 case ">":
 sb.append(">");//全角大于號
 break;
 case "<":
 sb.append("<");//全角小于號
 break;
 case "\"":
 sb.append("‘");//全角單引號
 break;
 case "\"":
 sb.append("“");//全角雙引號
 break;
 case "&":
 sb.append("&");//全角
 break;
 case "\\":
 sb.append("\");//全角斜線
 break;
 case "#":
 sb.append("#");//全角井號
 break;
 default:
 sb.append(c);
 break;
 }
}
 return sb.toString();
}
 
/**
* 獲取最原始的request
*
* @return
*/
public HttpServletRequest getOrgRequest() {
return orgRequest;
}
/**
* 獲取最原始的request的靜態方法
*
* @return
*/
 public static HttpServletRequest getOrgRequest(HttpServletRequest req) {
 if(req instanceof XssHttpServletRequestWrapper){
 return ((XssHttpServletRequestWrapper)req).getOrgRequest();
}
 
return req;
}
} 

在web.xml中添加

<filter>
<filter-name>xssFilter</filter-name>
 <filter-class>filter.XssFilter</filter-class>
 </filter>
 <filter-mapping>
 <filter-name>xssFilter</filter-name>
 <url-pattern>/*</url-pattern>
</filter-mapping>

以上就是本文的全部內容,希望對大家的學習有所幫助,也希望大家多多支持。

標簽: JSP
相關文章:
主站蜘蛛池模板: 99久久99热精品免费观看国产 | 亚洲人成一区二区三区 | 免费国产a国产片高清 | 亚洲不卡视频在线观看 | 久草在线视频在线观看 | 国产手机在线国内精品 | 欧美成人免费在线 | 国产在线观看精品一区二区三区91 | 久久怡红院亚欧成人影院 | 精品国产乱码久久久久久一区二区 | 色噜噜狠狠大色综合 | 欧美视频一区二区三区精品 | 巨大热杵在腿间进进出出视频 | 国产乱码精品一区二区三区四川人 | 亚洲波多野结衣日韩在线 | 九九精品久久久久久噜噜 | 免费国产成人α片 | 精品久久久久久中文字幕一区 | 一区二区三区免费高清视频 | 亚洲免费视频一区 | 国产精品久久久久久久久久直 | 国产一区欧美 | 精品久久久久久无码中文字幕 | 国产欧美日韩不卡在线播放在线 | 亚洲第三区 | 欧美成人黄色网 | 国产国语在线播放视频 | 成人欧美精品大91在线 | 免费国产一区二区三区 | 日本免费人做人一区在线观看 | 日本www免费视频网站在线观看 | 亚洲国产成人在线观看 | 美国一级毛片片aa免 | 97人摸人人澡人人人超一碰 | 国产精品99久久久 | 久久久久国产成人精品亚洲午夜 | 精品欧美一区二区三区在线观看 | 美日韩黄色片 | 一级做a爰片久久毛片看看 一级做a爰片久久毛片鸭王 | a级毛片在线播放 | 热99re久久精品香蕉 |