关于XSS漏洞修复

　　XSS即恶意脚本攻击漏洞，详细的描述网上介绍的很详细。我说一下自己在工作中对这种漏洞的修复方案，仅供参考。

　　第一阶段：使用ESAPI

　　这是一个Apache开发的安全组件，主要用于解决SQL注入和恶意脚本注入。

　　使用ESAPI防止XSS攻击时，首先应当配置过滤器（注意在过滤器中chain.doFilter(..)方法中的Request对象进行包装，在包装类中对请求参数进行筛选操作）；其次将过滤器注册到web.xml文件中；最后配置Request的包装类，在其中对请求信息进行过滤。

import java.io.IOException;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;

/*
 *配置XSS过滤器 
 */
public class XSSFilter implements Filter {
    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
    }
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
        throws IOException, ServletException {
        chain.doFilter(new XSSRequestWrapper((HttpServletRequest) request), response);
    }
    @Override
    public void destroy() {
    }
}

<!-- XSS攻击防范 -->
<filter>
    <filter-name>XSSFilter</filter-name>
    <filter-class>过滤器全类名</filter-class>
    </filter>
<filter-mapping>
    <filter-name>XSSFilter</filter-name>
        <url-pattern>/*</url-pattern>
        <dispatcher>REQUEST</dispatcher>
        <dispatcher>FORWARD</dispatcher>
</filter-mapping>

import java.net.URLDecoder;
import java.util.regex.Pattern;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
import org.owasp.esapi.ESAPI;

/*
 * 对传入参数进行校验
 */
public class XSSRequestWrapper extends HttpServletRequestWrapper {
    public XSSRequestWrapper(HttpServletRequest servletRequest) {
        super(servletRequest);
    }
    @Override
    public String[] getParameterValues(String parameter) {
        String[] values = super.getParameterValues(parameter);        
        if (values == null) {
            return null;
        }
        int count = values.length;
        String[] encodedValues = new String[count];
        for (int i = 0; i < count; i++) {
            encodedValues[i] = stripXSS(values[i]);
        }
        return encodedValues;
    }
    @Override
    public String getParameter(String parameter) {
        String value = super.getParameter(parameter);
        return stripXSS(value);
    }
    @Override
    public String getHeader(String name) {
        String value = super.getHeader(name);
        return stripXSS(value);
    }

        private String stripXSS(String value) {
        if (value != null) {
            //解析URL编码，防止前台的编码后的参数进入ESAPI过滤后无法正常解码
            value = URLDecoder.decode(value);
             // 使用ESAPI的防护功能避免XSS攻击
            value = ESAPI.encoder().canonicalize(value);
            // 去除空字符
            value = value.replaceAll("", "");
            // 过滤脚本标签间(如:<script>..</script>)的内容
            Pattern scriptPattern = Pattern.compile("<script>(.*?)</script>", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            //过滤由项目路径(src)直接访问项目资源的行为
            scriptPattern = Pattern.compile("src[\r\n]*=[\r\n]*\\\'(.*?)\\\'", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            scriptPattern = Pattern.compile("src[\r\n]*=[\r\n]*\\\"(.*?)\\\"", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // 过滤单个</script>标签
            scriptPattern = Pattern.compile("</script>", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            // 过滤单个<script ...> 标签
            scriptPattern = Pattern.compile("<script(.*?)>", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // 过滤 eval(...) 表达式
            scriptPattern = Pattern.compile("eval\\((.*?)\\)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // 过滤e­xpression(...) 表达式
            scriptPattern = Pattern.compile("e­xpression\\((.*?)\\)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // 过滤javascript:表达式攻击
            scriptPattern = Pattern.compile("javascript:", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            // 过滤vbscript：表达式攻击
            scriptPattern = Pattern.compile("vbscript:", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            // 过滤onload=事件
            scriptPattern = Pattern.compile("onload(.*?)=", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
        }
        return value;
    }
}

　　注意：开启ESAPI的防护功能时（value = ESAPI.encoder().canonicalize(value);），需要提前对要筛选的值进行URL解码（value = URLDecoder.decode(value);），否则会出现中文乱码。

　　第二阶段（可选）：使用CSF(Content Security Policy)安全策略

　　CSF是一种白名单防御策略，所有不在名单内的资源都不被信任，有效的防止了通过外部的标签、脚本、JS文件等资源的入侵形式，详情请看http://www.ruanyifeng.com/blog/2016/09/csp.html，我也是在这位大佬的网站上学习的CSF.

　　使用方式：

　　1.通过<meta http-equiv="Content-Security-Policy" content="script-src 'self'; object-src 'none'; style-src cdn.example.org third-party.org; child-src https:">标签将CSP嵌入到页面中。但是这种做法会对所有页面添加一个过滤项，加长了页面的访问时间，降低了用户体验；我加到项目中的时候还出现了某些样式文件加载不全的现象，没有必要不建议这么做。

　　2.通过使用Nginx配置HTTP 头信息的Content-Security-Policy的字段，但是一般的公司都不允许更改Nginx，一旦Nginx做了某种配置，整个项目都受影响，这种方式基本没戏。