SpringBoot如何使用注解进行XSS防御_Java

在spring boot中，我们可以使用注解的方式来进行xss防御。注解是一种轻量级的防御手段，它可以在方法或字段级别对输入进行校验，从而防止xss攻击。

引入相关依赖

maven依赖：

<!--jsr-303/jsr-380用于验证的注解 -->
<dependency>
    <groupid>org.springframework.boot</groupid>
    <artifactid>spring-boot-starter-validation</artifactid>
    <version>2.6.7</version>
</dependency>

如果是使用grade，引入依赖：

implementation 'org.springframework.boot:spring-boot-starter-validation:2.6.7'

定义@xss注解进行参数校验

我们可以自定义一个@xss注解，用于标记那些需要校验的参数。这里是一个简单的@xss注解定义：

package com.morris.spring.boot.module.xss;
import javax.validation.constraint;
import javax.validation.payload;
import java.lang.annotation.elementtype;
import java.lang.annotation.retention;
import java.lang.annotation.retentionpolicy;
import java.lang.annotation.target;
@target(value = {elementtype.method, elementtype.field, elementtype.constructor, elementtype.parameter})
@retention(retentionpolicy.runtime)
@constraint(validatedby = xssvalidator.class)
public @interface xss {
    string message() default "非法输入, 检测到潜在的xss";
    class<?>[] groups() default {};
    class<? extends payload>[] payload() default {};
}

实现自定义注解处理器

接下来，我们需要实现xssvalidator类，该类将负责检查输入是否包含潜在的xss攻击脚本：

package com.morris.spring.boot.module.xss;
import org.jsoup.jsoup;
import org.jsoup.nodes.document;
import org.jsoup.safety.whitelist;
import javax.validation.constraintvalidator;
import javax.validation.constraintvalidatorcontext;
/**
 * xss注解校验
 */
public class xssvalidator implements constraintvalidator<xss, string> {
    /**
     * 使用jsoup自带的relaxed白名单
     */
    private static final whitelist white_list = whitelist.relaxed();
    /**
     * 定义输出设置，关闭prettyprint（prettyprint=false），目的是避免在清理过程中对代码进行格式化
     * 从而保持输入和输出内容的一致性。
     */
    private static final document.outputsettings output_settings = new document.outputsettings().prettyprint(false);
    /**
     * 验证输入值是否有效，即是否包含潜在的xss攻击脚本。
     * 
     * @param value 输入值，需要进行xss攻击脚本清理。
     * @param context 上下文对象，提供关于验证环境的信息，如验证失败时的错误消息定制。
     * @return 如果清理后的值与原始值相同，则返回true，表示输入值有效；否则返回false，表示输入值无效。
     */
    @override
    public boolean isvalid(string value, constraintvalidatorcontext context) {
        // 这里先对value进行一次解析，对其中的单个<、>字符进行编码
        string oldbody = jsoup.parse(value).body().html();
        // 使用jsoup库对输入值进行清理，以移除潜在的xss攻击脚本。
        // 使用预定义的白名单和输出设置来确保只保留安全的html元素和属性。
        string newbody = jsoup.clean(value, "", white_list, output_settings);
        // 比较清理后的值与解析后的值是否相同，不相同说明过滤了xss脚本
        // 这里不使用value与newbody比，因为jsoup会对value中的单个<、>字符进行编码，如果value中还有单个的<，value与newbody也会不一样
        return oldbody.equals(newbody);
    }
}

使用@xss注解防御post请求

如果是post请求，需要在方法参数前面加上@valid或者@validated注解，然后在实体类的属性上面加上@xss注解。

package com.morris.spring.boot.module.xss;
import org.springframework.web.bind.annotation.postmapping;
import org.springframework.web.bind.annotation.requestbody;
import org.springframework.web.bind.annotation.requestmapping;
import org.springframework.web.bind.annotation.restcontroller;
import javax.validation.valid;
/**
 * xss局部防御post请求
 */
@restcontroller
@requestmapping("/xss/local")
public class xsslocalpostcontroller {
    /**
     * 使用注解拦截post请求中的xss，在实体类需要拦截xss的属性上面加上@xss或者@validated注解
     *
     * @param userlocalloginpojo 实体类
     * @return 实体类
     */
    @postmapping("/test")
    public userlocalloginpojo test(@valid @requestbody userlocalloginpojo userlocalloginpojo) {
        return userlocalloginpojo;
    }
}

在要进行xss防御的属性上添加@xss注解：

package com.morris.spring.boot.module.xss;
import lombok.data;
@data
public class userlocalloginpojo {
    @xss
    private string useraccount;
}

测试url：http://localhost:8888/xss/local/test

测试post请求：

{
    "useraccount": "<iframe οnlοad='alert(0)'>demodata</iframe>"
}

测试结果：

{
"message": "useraccount:非法输入, 检测到潜在的xss",
"code": 400,
"result": null
}

使用@xss注解防御get请求

如果是get请求，需要在方法参数前面加上@xss注解，然后在类上加上@validated注解。

package com.morris.spring.boot.module.xss;
import org.springframework.validation.annotation.validated;
import org.springframework.web.bind.annotation.*;
/**
 * xss局部防御get请求
 */
@restcontroller
@requestmapping("/xss/local")
@validated
public class xsslocalgetcontroller {
    /**
     * 使用注解拦截get请求中的xss，在方法参数前面加上@xss，注意类上面要加上@validated注解
     *
     * @param useraccount 请求参数
     * @return 请求参数
     */
    @getmapping("/test")
    public string test(@xss string useraccount) {
        return useraccount;
    }
}

测试url：http://localhost:8888/xss/local/test?useraccount=<iframe>demodata</iframe>

测试结果：