通过实际案例学习JavaURL防止XSS的代码实现-精创网络云防护

帮助文档
通过实际案例学习JavaURL防止XSS的代码实现
来源：www.jcwlyf.com更新时间：2025-06-03

在当今的网络应用开发中，安全问题一直是开发者们需要重点关注的内容。其中，跨站脚本攻击（XSS）是一种常见且危害较大的安全漏洞。Java 作为一种广泛应用的编程语言，在处理 URL 时需要特别注意防止 XSS 攻击。本文将通过实际案例详细介绍 Java URL 防止 XSS 的代码实现。

什么是 XSS 攻击

跨站脚本攻击（Cross - Site Scripting，简称 XSS）是一种代码注入攻击。攻击者通过在目标网站注入恶意脚本，当其他用户访问该网站时，这些恶意脚本就会在用户的浏览器中执行，从而获取用户的敏感信息，如登录凭证、会话 ID 等。XSS 攻击主要分为反射型、存储型和 DOM 型三种。反射型 XSS 是指攻击者将恶意脚本作为参数嵌入到 URL 中，当用户点击包含恶意脚本的链接时，服务器会将该脚本反射到响应页面中并执行。存储型 XSS 是指攻击者将恶意脚本存储到服务器的数据库中，当其他用户访问包含该恶意脚本的页面时，脚本会被执行。DOM 型 XSS 则是通过修改页面的 DOM 结构来注入恶意脚本。

Java URL 处理中 XSS 攻击的风险

在 Java 应用程序中，当处理 URL 时，如果没有对 URL 参数进行有效的过滤和验证，就可能会引入 XSS 攻击的风险。例如，在一个 Web 应用中，用户可以通过 URL 传递参数来请求特定的资源。如果应用程序直接将这些参数输出到页面中，而没有进行任何处理，攻击者就可以构造包含恶意脚本的 URL 参数，从而实现 XSS 攻击。

实际案例分析

假设我们有一个简单的 Java Web 应用，它接收一个名为“name”的 URL 参数，并将其显示在页面上。以下是一个简单的 Servlet 示例：

import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.io.PrintWriter;

@WebServlet("/test")
public class TestServlet extends HttpServlet {
    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        response.setContentType("text/html;charset=UTF-8");
        PrintWriter out = response.getWriter();
        String name = request.getParameter("name");
        out.println("<html><body>");
        out.println("你好，" + name);
        out.println("</body></html>");
    }
}

在这个示例中，如果攻击者构造一个包含恶意脚本的 URL，如“http://localhost:8080/test?name=<script>alert('XSS 攻击')</script>”，当用户访问该 URL 时，浏览器会弹出一个警告框，这就是一个典型的反射型 XSS 攻击。

防止 XSS 攻击的代码实现

为了防止 XSS 攻击，我们需要对 URL 参数进行过滤和转义。Java 提供了一些工具类来帮助我们实现这一点。以下是一个改进后的 Servlet 示例：

import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.io.PrintWriter;
import org.apache.commons.text.StringEscapeUtils;

@WebServlet("/test")
public class TestServlet extends HttpServlet {
    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        response.setContentType("text/html;charset=UTF-8");
        PrintWriter out = response.getWriter();
        String name = request.getParameter("name");
        if (name != null) {
            // 对参数进行 HTML 转义
            name = StringEscapeUtils.escapeHtml4(name);
        }
        out.println("<html><body>");
        out.println("你好，" + name);
        out.println("</body></html>");
    }
}

在这个改进后的示例中，我们使用了 Apache Commons Text 库中的 StringEscapeUtils 类来对 URL 参数进行 HTML 转义。该类提供了 escapeHtml4 方法，可以将特殊字符转换为 HTML 实体，从而防止恶意脚本的执行。例如，“<”会被转换为“<”，“>”会被转换为“>”。这样，即使攻击者构造了包含恶意脚本的 URL 参数，在页面上显示的也只是纯文本，而不会执行恶意脚本。

自定义过滤方法

除了使用第三方库，我们还可以自定义过滤方法来防止 XSS 攻击。以下是一个简单的自定义过滤方法示例：

public class XSSFilter {
    public static String filter(String input) {
        if (input == null) {
            return null;
        }
        StringBuilder filtered = new StringBuilder();
        for (int i = 0; i < input.length(); i++) {
            char c = input.charAt(i);
            switch (c) {
                case '<':
                    filtered.append("<");
                    break;
                case '>':
                    filtered.append(">");
                    break;
                case '&':
                    filtered.append("&");
                    break;
                case '"':
                    filtered.append(""");
                    break;
                case '\'':
                    filtered.append("&#x27;");
                    break;
                default:
                    filtered.append(c);
            }
        }
        return filtered.toString();
    }
}

在 Servlet 中使用自定义过滤方法：

import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.io.PrintWriter;

@WebServlet("/test")
public class TestServlet extends HttpServlet {
    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        response.setContentType("text/html;charset=UTF-8");
        PrintWriter out = response.getWriter();
        String name = request.getParameter("name");
        if (name != null) {
            // 使用自定义过滤方法
            name = XSSFilter.filter(name);
        }
        out.println("<html><body>");
        out.println("你好，" + name);
        out.println("</body></html>");
    }
}

通过自定义过滤方法，我们可以根据具体的需求对输入进行更细致的过滤和处理。

其他注意事项

除了对 URL 参数进行过滤和转义，还可以采取其他措施来防止 XSS 攻击。例如，设置 HTTP 头信息，如 Content - Security - Policy（CSP），可以限制页面可以加载的资源来源，从而减少 XSS 攻击的风险。以下是一个设置 CSP 的示例：

import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

@WebServlet("/test")
public class TestServlet extends HttpServlet {
    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        // 设置 Content - Security - Policy 头信息
        response.setHeader("Content - Security - Policy", "default - src'self'; script - src'self'");
        // 其他处理逻辑
    }
}

在这个示例中，我们设置了 Content - Security - Policy 头信息，规定页面只能从自身域名加载资源，并且只能执行来自自身域名的脚本。这样可以有效地防止外部恶意脚本的注入。

总之，在 Java 应用程序中处理 URL 时，防止 XSS 攻击是非常重要的。通过对 URL 参数进行过滤和转义，以及采取其他安全措施，如设置 CSP 头信息，可以有效地降低 XSS 攻击的风险，保障应用程序的安全性。开发者应该始终保持警惕，不断学习和更新安全知识，以应对日益复杂的网络安全威胁。