使用 c:out 防止 XSS 的替代方案

Question

我正在致力于防止基于 Java、Spring 的 Web 应用程序中的跨站脚本 (XSS)。我已经实现了类似于此示例的 servlet 过滤器 http://greatwebguy.com/programming/java/simple-cross-site-scripting-xss-servlet-filter/ 它会清理应用程序中的所有输入。作为额外的安全措施，我还想清理所有 JSP 中应用程序的所有输出。我做了一些研究，看看如何做到这一点，并找到了两个互补的选择。

其中之一是使用 Spring 的 defaultHtmlEscape 属性。这非常容易实现（web.xml 中的几行），并且当您的输出通过 spring 的标签之一（即：消息或表单标签）时，它非常有效。我发现的另一个选择是不直接使用 EL 表达式，例如 ${...} ，而是使用

第二种方法效果很好，但是由于我正在处理的应用程序的大小（200 多个 JSP 文件）。必须用 c:out 标记替换所有不恰当的 EL 表达式使用是一项非常繁琐的任务。此外，确保所有开发人员都遵守使用 c:out 标记的约定（更不用说，代码会变得更加不可读），这在未来将成为一项繁琐的任务。

是否有其他方法可以转义 EL 表达式的输出，并且需要更少的代码修改？

Answer 1

从 Servlet 2.5/JSP 2.1 开始，您可以创建自定义 ELResolver 就是这样做的。您可以在 中注册它ServletContextListener#contextInitialized()。

@Override
public void contextInitialized(ServletContextEvent event) {
    JspFactory.getDefaultFactory()
        .getJspApplicationContext(event.getServletContext())
        .addELResolver(new YourCustomELResolver());
}

在 ELResolver#getValue() 你可以完成转义工作。

你唯一的问题是你将无法在允许的地方显示 HTML（即已经通过白名单清除了恶意标签/属性，因此你最终会得到像 Jsoup 可以）。

---

也就是说，我不同意您在问题第一段中提到的在输入期间通过Filter转义XSS的必要性。你有双重逃逸的风险。您只需要在它可能造成损害的地方进行转义，即直接在视图侧将其内联到 HTML（输出）中。我建议摆脱所谓的 XSS 过滤器，并通过使用 JSTL 或 fn:escapeXml() 集中精力在视图端修复它。 code> （或自定义 EL 解析器，但这绝对不是正常方法）。未来的代码维护者将非常感激。

Answer 2

这篇博文介绍了一个自定义 ELResolver它转义 String 类型的 EL 表达式值。注册此自定义 ELResolver 将导致它转义所有 EL 表达式的输出。在 JSP 必须以编程方式输出 HTML 的特殊情况下，您需要一种不涉及 EL 表达式的机制，例如自定义标记或 scriptlet：

<%= "Java expression hopefully returning safe HTML" %>

Answer 3

我同意您不必在每个变量周围使用 c:out 。
我写了一篇博客，描述了原因 http://tech.finn .no/2011/04/08/xss-protection-whos-responsibility/

它涉及这里所说的很多内容。