在Web应用开发中，安全问题一直是至关重要的。其中，跨站脚本攻击（XSS）是一种常见且具有严重威胁性的安全漏洞。Struts2作为一款广泛使用的Java Web应用框架，在防御XSS攻击方面有着重要的机制和方法。本文将对Struts2防御XSS攻击进行全面解析，帮助开发者更好地保障应用的安全性。
一、XSS攻击概述
XSS（Cross-Site Scripting）攻击是指攻击者通过在目标网站注入恶意脚本，当其他用户访问该网站时，这些脚本会在用户的浏览器中执行，从而获取用户的敏感信息，如登录凭证、会话ID等。XSS攻击主要分为三种类型：反射型XSS、存储型XSS和DOM型XSS。
反射型XSS是指攻击者将恶意脚本作为参数嵌入到URL中，当用户点击包含该URL的链接时，服务器会将恶意脚本反射到响应页面中，从而在用户浏览器中执行。存储型XSS是指攻击者将恶意脚本存储到服务器的数据库中，当其他用户访问包含该恶意脚本的页面时，脚本会在浏览器中执行。DOM型XSS是指攻击者通过修改页面的DOM结构，使得恶意脚本在浏览器中执行。
二、Struts2中的XSS攻击风险
Struts2是一个基于MVC（Model-View-Controller）架构的Java Web应用框架，它在处理用户输入和输出时，如果没有进行适当的过滤和转义，就可能存在XSS攻击风险。例如，当Struts2应用接收用户输入的表单数据并将其直接显示在页面上时，如果用户输入的是恶意脚本，那么该脚本就会在浏览器中执行。
另外，Struts2的标签库在输出数据时，如果没有对数据进行安全处理，也可能导致XSS攻击。例如，<s:property>标签用于输出对象的属性值，如果属性值包含恶意脚本，那么脚本会在页面中执行。
三、Struts2防御XSS攻击的方法
1. 输入验证和过滤
在Struts2中，可以通过自定义拦截器对用户输入进行验证和过滤。拦截器可以在请求到达Action之前对输入数据进行检查，过滤掉包含恶意脚本的输入。以下是一个简单的自定义拦截器示例：
import com.opensymphony.xwork2.ActionInvocation;
import com.opensymphony.xwork2.interceptor.Interceptor;
import java.util.Map;
public class XSSInterceptor implements Interceptor {
@Override
public void init() {
// 初始化方法
}
@Override
public String intercept(ActionInvocation invocation) throws Exception {
Map<String, Object> parameters = invocation.getInvocationContext().getParameters();
for (Map.Entry<String, Object> entry : parameters.entrySet()) {
Object value = entry.getValue();
if (value instanceof String[]) {
String[] values = (String[]) value;
for (int i = 0; i < values.length; i++) {
values[i] = filterXSS(values[i]);
}
}
}
return invocation.invoke();
}
private String filterXSS(String input) {
if (input == null) {
return null;
}
// 简单的过滤，去除常见的恶意脚本标签
input = input.replaceAll("<script>", "");
input = input.replaceAll("</script>", "");
return input;
}
@Override
public void destroy() {
// 销毁方法
}
}在struts.xml中配置该拦截器：
<interceptors>
<interceptor name="xssInterceptor" class="com.example.XSSInterceptor"/>
<interceptor-stack name="xssStack">
<interceptor-ref name="xssInterceptor"/>
<interceptor-ref name="defaultStack"/>
</interceptor-stack>
</interceptors>
<default-interceptor-ref name="xssStack"/>2. 输出编码
在输出数据时，对数据进行编码可以有效防止XSS攻击。Struts2的标签库提供了一些属性来进行输出编码。例如，<s:property>标签的escape属性可以设置为true，对输出数据进行HTML编码：
<s:property value="user.name" escape="true"/>
另外，也可以在Java代码中使用Apache Commons Lang库的StringEscapeUtils类进行编码：
import org.apache.commons.lang3.StringEscapeUtils;
public class XSSUtils {
public static String escapeHTML(String input) {
return StringEscapeUtils.escapeHtml4(input);
}
}在Action中使用该方法对输出数据进行编码：
public class UserAction extends ActionSupport {
private String userName;
public String execute() {
userName = XSSUtils.escapeHTML(userName);
return SUCCESS;
}
public String getUserName() {
return userName;
}
public void setUserName(String userName) {
this.userName = userName;
}
}3. 设置HTTP头信息
通过设置HTTP头信息可以增强对XSS攻击的防御。例如，设置Content-Security-Policy（CSP）头信息可以限制页面可以加载的资源来源，防止恶意脚本的注入。在Struts2中，可以通过自定义拦截器来设置HTTP头信息：
import com.opensymphony.xwork2.ActionInvocation;
import com.opensymphony.xwork2.interceptor.Interceptor;
import javax.servlet.http.HttpServletResponse;
import org.apache.struts2.ServletActionContext;
public class CSPInterceptor implements Interceptor {
@Override
public void init() {
// 初始化方法
}
@Override
public String intercept(ActionInvocation invocation) throws Exception {
HttpServletResponse response = ServletActionContext.getResponse();
response.setHeader("Content-Security-Policy", "default-src'self'; script-src'self'");
return invocation.invoke();
}
@Override
public void destroy() {
// 销毁方法
}
}在struts.xml中配置该拦截器：
<interceptors>
<interceptor name="cspInterceptor" class="com.example.CSPInterceptor"/>
<interceptor-stack name="cspStack">
<interceptor-ref name="cspInterceptor"/>
<interceptor-ref name="defaultStack"/>
</interceptor-stack>
</interceptors>
<default-interceptor-ref name="cspStack"/>四、总结
Struts2防御XSS攻击需要从输入验证和过滤、输出编码以及设置HTTP头信息等多个方面进行综合处理。通过自定义拦截器对用户输入进行过滤，对输出数据进行编码，以及设置安全的HTTP头信息，可以有效降低Struts2应用遭受XSS攻击的风险。开发者在开发Struts2应用时，应该始终将安全问题放在首位，采取必要的措施来保障应用的安全性。
同时，随着Web技术的不断发展，XSS攻击的手段也在不断变化，开发者需要持续关注安全领域的最新动态，及时更新和完善防御机制，以应对新的安全挑战。
