url如何过滤xss攻击

Question

针对url的xss攻击。一般都是extends HttpServletRequestWrappe，重写了getHeader，getParameter，getParameterValues方法。这样子的话对于请求A change.do?aa=<script></script>这种情况下是有作用的。
那么对于静态资源，如/index.js<script></script>是无效的。因为没有进入getParameter进行处理。这种情况应该怎么办？