Java使用正则表达式有效防止XSS与SQL注入-精创网络云防护

帮助文档
Java使用正则表达式有效防止XSS与SQL注入
来源：www.jcwlyf.com更新时间：2025-06-29
在Java开发中，安全问题一直是至关重要的，其中XSS（跨站脚本攻击）和SQL注入是常见且危害较大的安全漏洞。正则表达式作为一种强大的文本处理工具，可以在Java中被有效地用于防止XSS与SQL注入。本文将详细介绍如何使用Java正则表达式来防范这两种安全威胁。
一、XSS与SQL注入概述
XSS攻击是指攻击者通过在目标网站注入恶意脚本，当用户访问该网站时，这些脚本会在用户的浏览器中执行，从而获取用户的敏感信息，如Cookie、会话令牌等。SQL注入则是攻击者通过在应用程序的输入字段中添加恶意的SQL代码，从而绕过应用程序的身份验证和授权机制，非法访问、修改或删除数据库中的数据。
二、Java正则表达式基础
正则表达式是一种用于匹配字符串模式的工具。在Java中，"java.util.regex"包提供了对正则表达式的支持。以下是一个简单的Java正则表达式示例，用于匹配包含数字的字符串：
```
import java.util.regex.Matcher;
import java.util.regex.Pattern;

public class RegexExample {
    public static void main(String[] args) {
        String input = "abc123def";
        String pattern = "\\d+";

        Pattern r = Pattern.compile(pattern);
        Matcher m = r.matcher(input);

        if (m.find()) {
            System.out.println("找到匹配的数字: " + m.group());
        } else {
            System.out.println("未找到匹配的数字");
        }
    }
}
```
在上述代码中，"Pattern"类用于编译正则表达式，"Matcher"类用于在输入字符串中查找匹配的模式。
三、使用正则表达式防止XSS攻击
为了防止XSS攻击，我们需要过滤用户输入中的恶意脚本代码。常见的做法是去除或转义HTML标签和特殊字符。以下是一个使用正则表达式过滤HTML标签的Java示例：
```
import java.util.regex.Matcher;
import java.util.regex.Pattern;

public class XSSFilter {
    public static String filterXSS(String input) {
        if (input == null) {
            return null;
        }
        // 去除HTML标签
        String pattern = "<[^>]*>";
        Pattern r = Pattern.compile(pattern, Pattern.CASE_INSENSITIVE);
        Matcher m = r.matcher(input);
        return m.replaceAll("");
    }

    public static void main(String[] args) {
        String input = "<script>alert('XSS攻击')</script>";
        String filtered = filterXSS(input);
        System.out.println("过滤后的内容: " + filtered);
    }
}
```
在上述代码中，正则表达式"<[^>]*>"用于匹配所有的HTML标签，"Pattern.CASE_INSENSITIVE"表示不区分大小写。通过"Matcher.replaceAll"方法将匹配到的标签替换为空字符串，从而去除了恶意脚本代码。
除了去除HTML标签，还可以转义特殊字符，如"<"、">"、"&"等。以下是一个转义特殊字符的示例：
```
public class XSSEscape {
    public static String escapeXSS(String input) {
        if (input == null) {
            return null;
        }
        input = input.replaceAll("&", "&");
        input = input.replaceAll("<", "<");
        input = input.replaceAll(">", ">");
        input = input.replaceAll("\"", """);
        input = input.replaceAll("'", "&#x27;");
        return input;
    }

    public static void main(String[] args) {
        String input = "<script>alert('XSS攻击')</script>";
        String escaped = escapeXSS(input);
        System.out.println("转义后的内容: " + escaped);
    }
}
```
通过将特殊字符转义为HTML实体，可以防止浏览器将其解析为脚本代码。
四、使用正则表达式防止SQL注入
为了防止SQL注入，我们需要过滤用户输入中的恶意SQL代码。常见的做法是去除或转义SQL关键字和特殊字符。以下是一个使用正则表达式过滤SQL关键字的Java示例：
```
import java.util.regex.Matcher;
import java.util.regex.Pattern;

public class SQLFilter {
    public static String filterSQL(String input) {
        if (input == null) {
            return null;
        }
        // 过滤SQL关键字
        String pattern = "(?i)\\b(SELECT|UPDATE|DELETE|INSERT|DROP|ALTER|CREATE)\\b";
        Pattern r = Pattern.compile(pattern);
        Matcher m = r.matcher(input);
        return m.replaceAll("");
    }

    public static void main(String[] args) {
        String input = "SELECT * FROM users WHERE username = 'admin' OR 1=1";
        String filtered = filterSQL(input);
        System.out.println("过滤后的内容: " + filtered);
    }
}
```
在上述代码中，正则表达式"(?i)\\b(SELECT|UPDATE|DELETE|INSERT|DROP|ALTER|CREATE)\\b"用于匹配常见的SQL关键字，"(?i)"表示不区分大小写，"\\b"表示单词边界。通过"Matcher.replaceAll"方法将匹配到的关键字替换为空字符串，从而防止了SQL注入攻击。
除了过滤SQL关键字，还可以转义特殊字符，如单引号、双引号等。以下是一个转义单引号的示例：
```
public class SQLEscape {
    public static String escapeSQL(String input) {
        if (input == null) {
            return null;
        }
        return input.replaceAll("'", "''");
    }

    public static void main(String[] args) {
        String input = "admin' OR 1=1 --";
        String escaped = escapeSQL(input);
        System.out.println("转义后的内容: " + escaped);
    }
}
```
通过将单引号转义为两个单引号，可以防止攻击者利用单引号注入恶意SQL代码。
五、注意事项
虽然正则表达式可以在一定程度上防止XSS和SQL注入攻击，但它并不是万能的。攻击者可能会采用一些绕过正则表达式的技巧，如编码、变形等。因此，在实际应用中，还需要结合其他安全措施，如使用预编译语句、输入验证、输出编码等。
使用预编译语句是防止SQL注入的最佳实践。预编译语句会将SQL语句和用户输入分开处理，从而避免了SQL注入的风险。以下是一个使用预编译语句的Java示例：
```
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

public class PreparedStatementExample {
    public static void main(String[] args) {
        String url = "jdbc:mysql://localhost:3306/test";
        String username = "root";
        String password = "password";
        String input = "admin' OR 1=1 --";

        try (Connection conn = DriverManager.getConnection(url, username, password)) {
            String sql = "SELECT * FROM users WHERE username = ?";
            PreparedStatement pstmt = conn.prepareStatement(sql);
            pstmt.setString(1, input);
            ResultSet rs = pstmt.executeQuery();
            while (rs.next()) {
                System.out.println(rs.getString("username"));
            }
        } catch (SQLException e) {
            e.printStackTrace();
        }
    }
}
```
在上述代码中，使用"PreparedStatement"将用户输入作为参数传递，数据库会自动处理输入的转义和验证，从而防止了SQL注入攻击。
六、总结
正则表达式是一种强大的工具，可以在Java中用于防止XSS和SQL注入攻击。通过过滤和转义用户输入中的恶意代码，可以有效地提高应用程序的安全性。但需要注意的是，正则表达式并不是万能的，还需要结合其他安全措施，如使用预编译语句、输入验证、输出编码等，以确保应用程序的安全。在实际开发中，应该始终保持警惕，及时更新和完善安全策略，以应对不断变化的安全威胁。