在当今的网络应用开发中，安全问题一直是重中之重。Struts2作为一个广泛使用的Java Web开发框架，在构建Web应用时面临着各种安全威胁，其中跨站脚本攻击（XSS）是最为常见且危害较大的一种。本文将详细介绍在Struts2项目中实施全面的XSS防护的方法和策略。
一、了解XSS攻击
XSS（Cross-Site Scripting）即跨站脚本攻击，是一种通过在目标网站注入恶意脚本，当用户访问该网站时，恶意脚本会在用户的浏览器中执行，从而获取用户的敏感信息、篡改页面内容等。XSS攻击主要分为反射型、存储型和DOM型三种。
反射型XSS攻击是指攻击者将恶意脚本作为参数嵌入到URL中，当用户点击包含该恶意URL的链接时，服务器会将恶意脚本反射到响应页面中，从而在用户的浏览器中执行。存储型XSS攻击则是将恶意脚本存储到服务器的数据库中，当其他用户访问包含该恶意脚本的页面时，脚本会在浏览器中执行。DOM型XSS攻击是基于文档对象模型（DOM）的一种攻击方式，攻击者通过修改页面的DOM结构来注入恶意脚本。
二、Struts2项目中XSS攻击的风险点
在Struts2项目中，XSS攻击的风险点主要集中在以下几个方面。首先，表单输入是最常见的风险点。如果在处理用户输入时没有进行有效的过滤和验证，攻击者可以通过表单提交恶意脚本。其次，URL参数也可能被利用进行XSS攻击。当应用程序直接将URL参数输出到页面时，攻击者可以构造包含恶意脚本的URL进行攻击。另外，从数据库中读取的数据如果没有进行处理就直接显示在页面上，也可能导致存储型XSS攻击。
三、Struts2项目中实施XSS防护的基本策略
1. 输入验证和过滤
在Struts2项目中，对用户输入进行严格的验证和过滤是防止XSS攻击的重要手段。可以使用Struts2的拦截器来实现输入验证。以下是一个简单的自定义拦截器示例：
import com.opensymphony.xwork2.ActionInvocation;
import com.opensymphony.xwork2.interceptor.AbstractInterceptor;
public class XSSInterceptor extends AbstractInterceptor {
@Override
public String intercept(ActionInvocation invocation) throws Exception {
Object action = invocation.getAction();
// 对输入参数进行过滤
// 这里可以使用正则表达式等方法过滤恶意脚本
return invocation.invoke();
}
}在struts.xml中配置该拦截器：
<interceptors>
<interceptor name="xssInterceptor" class="com.example.XSSInterceptor"/>
<interceptor-stack name="xssStack">
<interceptor-ref name="xssInterceptor"/>
<interceptor-ref name="defaultStack"/>
</interceptor-stack>
</interceptors>
<default-interceptor-ref name="xssStack"/>2. 输出编码
在将数据输出到页面时，对数据进行编码可以有效防止XSS攻击。Struts2提供了OGNL表达式来进行输出编码。例如，在JSP页面中使用Struts2标签输出数据时，可以使用<s:property>标签的escapeHtml属性进行HTML编码：
<s:property value="userInput" escapeHtml="true"/>
如果是在Java代码中输出数据，可以使用Apache Commons Lang库的StringEscapeUtils类进行编码：
import org.apache.commons.lang3.StringEscapeUtils;
String userInput = request.getParameter("input");
String escapedInput = StringEscapeUtils.escapeHtml4(userInput);
out.println(escapedInput);四、针对不同类型XSS攻击的防护措施
1. 反射型XSS防护
对于反射型XSS攻击，除了前面提到的输入验证和输出编码外，还可以通过设置HTTP响应头来增强防护。例如，设置Content-Security-Policy（CSP）头可以限制页面可以加载的资源来源，从而防止恶意脚本的加载。在Struts2项目中，可以在拦截器中设置CSP头：
import com.opensymphony.xwork2.ActionInvocation;
import com.opensymphony.xwork2.interceptor.AbstractInterceptor;
import javax.servlet.http.HttpServletResponse;
public class CSPInterceptor extends AbstractInterceptor {
@Override
public String intercept(ActionInvocation invocation) throws Exception {
HttpServletResponse response = (HttpServletResponse) invocation.getInvocationContext().get(StrutsStatics.HTTP_RESPONSE);
response.setHeader("Content-Security-Policy", "default-src'self'");
return invocation.invoke();
}
}2. 存储型XSS防护
存储型XSS攻击的防护重点在于对存储到数据库的数据进行过滤和验证。在将用户输入存储到数据库之前，要进行严格的验证和过滤，确保不包含恶意脚本。同时，在从数据库中读取数据并输出到页面时，也要进行输出编码。可以在数据访问层（DAO）中添加过滤逻辑：
import org.apache.commons.lang3.StringEscapeUtils;
public class UserDAO {
public void saveUser(User user) {
String username = StringEscapeUtils.escapeHtml4(user.getUsername());
// 将过滤后的用户名存储到数据库
}
public User getUserById(int id) {
User user = // 从数据库中获取用户信息
user.setUsername(StringEscapeUtils.escapeHtml4(user.getUsername()));
return user;
}
}3. DOM型XSS防护
DOM型XSS攻击主要是通过修改页面的DOM结构来注入恶意脚本。为了防止DOM型XSS攻击，要避免直接使用JavaScript的innerHTML等方法来添加用户输入的数据。可以使用textContent属性来添加文本数据，因为textContent会自动对特殊字符进行编码。例如：
var userInput = document.getElementById('userInput').value;
var element = document.getElementById('output');
element.textContent = userInput;五、定期安全审计和漏洞扫描
除了在代码层面实施XSS防护措施外，定期进行安全审计和漏洞扫描也是非常重要的。可以使用专业的安全扫描工具，如OWASP ZAP、Nessus等，对Struts2项目进行全面的安全扫描。这些工具可以检测出潜在的XSS漏洞，并提供详细的报告和修复建议。同时，要定期对代码进行审查，检查是否存在新的安全风险点。
六、员工安全培训
员工的安全意识对于项目的安全至关重要。要对开发人员、测试人员等相关人员进行安全培训，让他们了解XSS攻击的原理和危害，掌握正确的防护方法。培训内容可以包括输入验证、输出编码、安全编码规范等方面。通过提高员工的安全意识，可以减少因人为疏忽而导致的安全漏洞。
在Struts2项目中实施全面的XSS防护需要从多个方面入手，包括输入验证、输出编码、设置HTTP响应头、针对不同类型XSS攻击的防护措施、定期安全审计和漏洞扫描以及员工安全培训等。只有综合运用这些方法，才能有效地防止XSS攻击，保障项目的安全稳定运行。
