如何防止人们在 Spring MVC 中进行 XSS？

Question

Spring MVC 中如何防止 XSS？现在，我只是将输出用户文本的所有位置放入 JSTL 标记或 fn:escapeXml() 函数中，但这似乎很容易出错，因为我可能会错过一个地方。

有没有一种简单的系统方法来防止这种情况发生？也许像过滤器什么的？我通过在控制器方法上指定 @RequestParam 参数来收集输入。

Answer 1

不应仅依赖 ，还应该使用 antixss 库，它不仅可以编码，还可以清理输入中的恶意脚本。 OWASP Antisamy 是最好的库之一，它非常灵活并且可以配置（使用 xml 策略文件）根据要求。

例如，如果应用程序仅支持文本输入，则最通用的 策略文件 来清理和删除大部分 html 标签。同样，如果应用程序支持需要各种 html 标签的 html 编辑器（例如 tinymce），则可以使用更灵活的策略，例如 eBay 政策文件

Answer 2

**To avoid XSS security threat in spring application**

XSS问题的解决方案是过滤表单中的所有文本字段
提交表格时。

    It needs XML entry in the web.xml file & two simple classes.

        java code :-
        The code for the  first class named CrossScriptingFilter.java is :

        package com.filter;

        import java.io.IOException;
        import javax.servlet.Filter;
        import javax.servlet.FilterChain;
        import javax.servlet.FilterConfig;
        import javax.servlet.ServletException;
        import javax.servlet.ServletRequest;
        import javax.servlet.ServletResponse;
        import javax.servlet.http.HttpServletRequest;
        import org.apache.log4j.Logger;

        public class CrossScriptingFilter implements Filter {
            private static Logger logger = Logger.getLogger(CrossScriptingFilter.class);
            private FilterConfig filterConfig;

            public void init(FilterConfig filterConfig) throws ServletException {
                this.filterConfig = filterConfig;
            }

            public void destroy() {
                this.filterConfig = null;
            }

            public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
                throws IOException, ServletException {
                logger.info("Inlter CrossScriptingFilter  ...............");
                chain.doFilter(new RequestWrapper((HttpServletRequest) request), response);
                logger.info("Outlter CrossScriptingFilter ...............");
            }

        }

名为RequestWrapper.java的第二个类的代码是：

package com.filter;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;

import org.apache.log4j.Logger;

public final class RequestWrapper extends HttpServletRequestWrapper {
    private static Logger logger = Logger.getLogger(RequestWrapper.class);
    public RequestWrapper(HttpServletRequest servletRequest) {
        super(servletRequest);
    }

    public String[] getParameterValues(String parameter) {
        logger.info("InarameterValues .. parameter .......");
        String[] values = super.getParameterValues(parameter);
        if (values == null) {
            return null;
        }
        int count = values.length;
        String[] encodedValues = new String[count];
        for (int i = 0; i < count; i++) {
            encodedValues[i] = cleanXSS(values[i]);
        }
        return encodedValues;
    }

    public String getParameter(String parameter) {
        logger.info("Inarameter .. parameter .......");
        String value = super.getParameter(parameter);
        if (value == null) {
            return null;
        }
        logger.info("Inarameter RequestWrapper ........ value .......");
        return cleanXSS(value);
    }

    public String getHeader(String name) {
        logger.info("Ineader .. parameter .......");
        String value = super.getHeader(name);
        if (value == null)
            return null;
        logger.info("Ineader RequestWrapper ........... value ....");
        return cleanXSS(value);
    }

    private String cleanXSS(String value) {
        // You'll need to remove the spaces from the html entities below
        logger.info("InnXSS RequestWrapper ..............." + value);
        //value = value.replaceAll("<", "& lt;").replaceAll(">", "& gt;");
        //value = value.replaceAll("\\(", "& #40;").replaceAll("\\)", "& #41;");
        //value = value.replaceAll("'", "& #39;");
        value = value.replaceAll("eval\\((.*)\\)", "");
        value = value.replaceAll("[\\\"\\\'][\\s]*javascript:(.*)[\\\"\\\']", "\"\"");

        value = value.replaceAll("(?i)<script.*?>.*?<script.*?>", "");
        value = value.replaceAll("(?i)<script.*?>.*?</script.*?>", "");
        value = value.replaceAll("(?i)<.*?javascript:.*?>.*?</.*?>", "");
        value = value.replaceAll("(?i)<.*?\\s+on.*?>.*?</.*?>", "");
        //value = value.replaceAll("<script>", "");
        //value = value.replaceAll("</script>", "");
        logger.info("OutnXSS RequestWrapper ........ value ......." + value);
        return value;
    }

唯一剩下的是 web.xml 文件中的 XML 条目：

        <filter>
        <filter-name>XSS</filter-name>
        <display-name>XSS</display-name>
        <description></description>
        <filter-class>com.filter.CrossScriptingFilter</filter-class>
    </filter>

    <filter-mapping>
        <filter-name>XSS</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>

/* 表示对于浏览器发出的每个请求，它将调用
CrossScriptingFilter 类。它将解析来自请求的所有组件/元素
将用空字符串 ie 替换黑客放置的所有 javascript 标签

Answer 3

在 Spring 中，您可以转义

标记生成的 JSP 页面中的 html。这关闭了 XSS 攻击的许多途径，并且可以通过三种方式自动完成：

对于 web.xml 文件中的整个应用程序：

<context-param>
    <param-name>defaultHtmlEscape</param-name>
    <param-value>true</param-value>
</context-param>

对于文件本身中给定页面上的所有表单：

<spring:htmlEscape defaultHtmlEscape="true" /> 

对于每种形式：

<form:input path="someFormField" htmlEscape="true" /> 

Answer 4

我通过 @Valid 对所有输入对象使用 Hibernate Validator（绑定和 @RequestBody json，请参阅 https://dzone.com/articles/spring-31-valid-requestbody）。所以 @org.hibernate.validator.constraints.SafeHtml 对我来说是一个很好的解决方案。

Hibernate SafeHtmlValidator 依赖于 org.jsoup，因此需要再添加一个项目依赖项：

<dependency>
    <groupId>org.jsoup</groupId>
    <artifactId>jsoup</artifactId>
    <version>1.10.1</version>
</dependency>

For bean User with field

@NotEmpty
@SafeHtml
protected String name;

for update attempts with value < code>在控制器中

@PutMapping(value = "/{id}", consumes = MediaType.APPLICATION_JSON_VALUE)
public void update(@Valid @RequestBody User user, @PathVariable("id") int id) 

，或者

@PostMapping
public void createOrUpdate(@Valid User user) {

对于绑定抛出 BindException ，对于 @RequestBody< 抛出 MethodArgumentNotValidException /code> 带有默认消息：

name may have unsafe html content

验证器也适用于绑定，就像之前的持久化一样。
应用程序可以在 http://topjava.herokuapp.com/ 进行测试

更新：另请参阅@GuyT 的评论

CVE-2019-10219 和 @SafeHtml 的状态

我们已获悉与 @SafeHtml 约束相关的 CVE-2019-10219，该问题已在 6.0.18.Final 和 6.1.0.Final 中修复......

但是，我们得出的结论是，@SafeHtml 约束很脆弱，对安全性高度敏感，并且依赖于并非为此目的而设计的外部库。将其包含在核心 Hibernate Validator 中并不是一个好主意。这就是我们弃用它并将其标记为删除的原因。这里没有神奇的计划，因此我们的用户必须自己维护此约束

我自己的简历：它是安全的并且可以使用，直到找到更好的解决方案。

更新：由于从 hibernate.validator 中删除 @SafeHtml/SafeHtmlValidator 使用自己的 NoHtmlValidator，请参阅 https://stackoverflow.com/a/68888601/548473

Answer 5

尝试XSSFilter。

Answer 6

当您尝试防止 XSS 时，考虑上下文非常重要。例如，如果您在 JavaScript 代码片段中的变量内输出数据，而不是在 HTML 标记或 HTML 属性中输出数据，那么如何转义以及转义什么内容是非常不同的。

我有这里的一个例子。另请查看OWASP XSS 预防备忘单。

所以简短的答案是，确保按照 Tendayi Mawushe 的建议转义输出，但在 HTML 属性或 JavaScript 中输出数据时要特别小心。

Answer 7

您首先如何收集用户输入？如果您使用的是 FormController，此问题/答案可能会有所帮助：

Spring：绑定到命令时转义输入

Answer 8

始终手动检查您使用的方法、标签，并确保它们最终总是逃逸（一次）。框架在这方面有很多错误和差异。

概述：http://www.gablog.eu/online/node/91