跨站点脚本编制 - SpringBoot配置XSS过滤器（基于mica-xss）

1. 简介

  XSS，即跨站脚本编制，英文为Cross Site Scripting。为了和CSS区分，命名为XSS。

  XSS是最普遍的Web应用安全漏洞。这类漏洞能够使得攻击者嵌入恶意脚本代码到正常用户会访问到的页面中，当正常用户访问该页面时，则可导致嵌入的恶意脚本代码的执行，从而达到恶意攻击用户的目的。

2. XSS相关博客

  跨站点脚本编制 - SpringBoot配置XSS过滤器（基于Jsoup）

3. 其他安全相关博客

  SQL盲注、SQL注入 - SpringBoot配置SQL注入过滤器

  跨站点请求伪造 - SpringBoot配置CSRF过滤器

4. 基于mica-xss解决

  参考：https://gitee.com/596392912/mica

• pom.xml添加依赖

<dependency>
	<groupId>net.dreamlu</groupId>
	<artifactId>mica-core</artifactId>
	<version>2.0.9-GA</version>
</dependency>
<dependency>
	<groupId>net.dreamlu</groupId>
	<artifactId>mica-xss</artifactId>
	<version>2.0.9-GA</version>
</dependency>

  添加依赖后，已经完成了XSS过滤配置。

5. 测试

• 编写测试Controller

import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;

/**
 * 用户Controller
 *
 * @author CL
 *
 */
@RestController
@RequestMapping(value = "user")
public class UserController {

	/**
	 * 获取用户信息
	 *
	 * @param user 用户Entity
	 * @return
	 */
	@RequestMapping(value = "get")
	public String get(User user) {
		return user.toString();
	}

}

/**
 * 用户Entity
 *
 * @author CL
 *
 */
class User {

	/**
	 * 用户ID
	 */
	private String id;

	/**
	 * 用户名称
	 */
	private String username;

	public User() {
		super();
	}

	public User(String id, String username) {
		super();
		this.id = id;
		this.username = username;
	}

	public String getId() {
		return id;
	}

	public void setId(String id) {
		this.id = id;
	}

	public String getUsername() {
		return username;
	}

	public void setUsername(String username) {
		this.username = username;
	}

	@Override
	public String toString() {
		return "User [id=" + id + ", username=" + username + "]";
	}

}

• 跳过过滤
  
    在Controller上添加注解@XssCleanIgnore即可。

/**
 * 注册Controller
 *
 * @author CL
 *
 */
@XssCleanIgnore
@RestController
@RequestMapping(value = "register")
public class RegisterController {

	/**
	 * 获取信息
	 *
	 * @param username 用户名称
	 * @return
	 */
	@RequestMapping(value = "get")
	public String get(String username) {
		return username;
	}

}

• Postman测试
  
  
  
  

6. mica-xss原理

• 自定义WebDataBinder过滤Form表单
  
    WebDataBinder的作用是从request将请求中的parameters绑定到对应的JavaBean上，在Controller方法中的参数类型可以是基本类型，也可以是普通Java类型。SpringMVC提供了在绑定的过程中用户自定义编辑绑定的接口，因此可以在绑定过程中进行过滤。

/**
 * 表单 xss 处理
 *
 * @author L.cm
 */
@AutoIgnore
@ControllerAdvice
@RequiredArgsConstructor
public class FormXssClean {
	private final XssCleaner xssCleaner;

	@InitBinder
	public void initBinder(WebDataBinder binder) {
		// 处理前端传来的表单字符串
		binder.registerCustomEditor(String.class, new StringPropertiesEditor(xssCleaner));
	}

	//......
}

• 自定义JsonDeserializer（反序列化）过滤Json
  
    SpringBoot中默认是使用Jackson对Json数据进行序列化和反序列化，也可以自定义JsonSerializer和JsonDeserializer类自主实现。用户提交的Json报文会通过JsonDeserializer绑定到Java Bean中。因此可以在JsonDeserializer中进行过滤。

/**
 * jackson xss 处理
 *
 * @author L.cm
 */
@Slf4j
@RequiredArgsConstructor
public class JacksonXssClean extends JsonDeserializer<String> {
	private final XssCleaner xssCleaner;

	@Override
	public String deserialize(JsonParser p, DeserializationContext ctx) throws IOException {
		// XSS filter
		String text = p.getValueAsString();
		if (text == null) {
			return null;
		} else if (XssHolder.isEnabled()) {
			String value = xssCleaner.clean(text);
			log.debug("Json property value:{} cleaned up by mica-xss, current value is:{}.", text, value);
			return value;
		} else {
			return text;
		}
	}

}

• XssUtil
  
    mica-xss的XSS工具类其实也是基于Jsoup工具实现的。

/**
 * xss clean
 *
 * <p>
 * 参考自 jpress：https://gitee.com/fuhai/jpress
 * </p>
 *
 * @author L.cm
 * @author michael
 */
public class XssUtil {
	private static final HtmlWhitelist WHITE_LIST = new HtmlWhitelist();

	/**
	 * xss 清理
	 *
	 * @param html html
	 * @return 清理后的 html
	 */
	public static String clean(String html) {
		if (StringUtils.hasText(html)) {
			return Jsoup.clean(html, WHITE_LIST);
		}
		return html;
	}

	//......
}

7. mica.xss配置

  mica-xss提供的配置类如下：

/**
 * Xss配置类
 *
 * @author L.cm
 */
@Getter
@Setter
@ConfigurationProperties("mica.xss")
public class MicaXssProperties {

	/**
	 * 开启xss
	 */
	private boolean enabled = true;
	/**
	 * 拦截的路由，默认为空
	 */
	private List<String> pathPatterns = new ArrayList<>();
	/**
	 * 放行的规则，默认为空
	 */
	private List<String> excludePatterns = new ArrayList<>();

}

  可以看出，默认是开启XSS过滤的，我们可以通过application配置文件，来开启或关闭过滤，并指定相应的拦截路由（默认为全部：/**）和放行规则（默认为空）。

  如果默认的配置已经满足需求，则不需要再自定义配置mica.xss。

mica:
    xss:
        enabled: true
        excludePatterns:
            - /login
            - /logout

跨站点脚本编制 - SpringBoot配置XSS过滤器（基于mica-xss）的更多相关文章

1. 跨站点脚本编制 - SpringBoot配置XSS过滤器（基于Jsoup）

   1. 跨站点脚本编制   风险:可能会窃取或操纵客户会话和 cookie,它们可能用于模仿合法用户,从而使黑客能够以该用户身份查看或变更用户记录以及执行事务.   原因:未对用户输入正确执行危险字符清 ...

2. 跨站点请求伪造 - SpringBoot配置CSRF过滤器

   1. 跨站点请求伪造   风险:可能会窃取或操纵客户会话和 cookie,它们可能用于模仿合法用户,从而使黑客能够以该用户身份查看或变更用户记录以及执行事务.   原因:应用程序使用的认证方法不充分. ...

3. 使用过滤器解决SQL注入和跨站点脚本编制

   1 SQL注入.盲注 1.1 SQL注入.盲注概述 Web 应用程序通常在后端使用数据库,以与企业数据仓库交互.查询数据库事实上的标准语言是 SQL(各大数据库供应商都有自己的不同版本).Web 应用 ...

4. 跨站点脚本编制-XSS 描述及解决方法

   跨站点脚本编制可能是一个危险的安全性问题,在设计安全的基于 Web 的应用程序时应该考虑这一点.本文中,描述了这种问题的本质.它是如何起作用的,并概述了一些推荐的修正策略. 当今的大多数网站都对 We ...

5. 跨站点脚本编制实例（AppScan扫描结果）

   最近工作要求解决下web的项目的漏洞问题,扫描漏洞是用的AppScan工具,其中有很多是关于跨站点脚本编制问题的.下面就把这块东西分享出来. 原创文章,转载请注明 ------------------ ...

6. js解决跨站点脚本编制问题

   1.前台处理(容易绕过): <script type="text/javascript"> $(document).ready(function(){ var url= ...

7. 【漏洞三】跨站点脚本(XSS)攻击

   [漏洞] 跨站点脚本(XSS)攻击 [原因] 跨站点脚本(也称为xss)是一个漏洞,攻击者可以发送恶意代码(通常在(Javascript的形式)给另一个用户.因为浏览器无法知道脚本是否值得信任,所以它 ...

8. ASP.NET Core中的OWASP Top 10 十大风险-跨站点脚本攻击 (XSS)

   不定时更新翻译系列,此系列更新毫无时间规律,文笔菜翻译菜求各位看官老爷们轻喷,如觉得我翻译有问题请挪步原博客地址 本博文翻译自: https://dotnetcoretutorials.com/201 ...

9. 跨站点脚本攻击XSS

   来源:http://www.freebuf.com/articles/web/15188.html 跨站点脚本攻击是一种Web应用程序的攻击,攻击者尝试注入恶意脚本代码到受信任的网站上执行恶意操作.在 ...

随机推荐

1. matlab 数组操作作业

   写出下列语句的计算结果及作用 1.A= [2 5 7 3 1 3 4 2];    创建二维数组并赋值 2.[rows, cols] = size(A);    ​把A的尺寸赋值给数组,rows为行, ...

2. 面试官：小伙子，你给我说一下你对MySQL索引的理解吧

   一.索引是什么? 索引是帮助MySQL高效获取数据的数据结构. 二.索引能干什么? 索引非常关键,尤其是当表中的数据量越来越大时,索引对于性能的影响愈发重要.索引能够轻易将查询性能提高好几个数量级,总 ...

3. 思维导图iMindMap能够对逻辑思维有什么帮助

   思维就像人的身体一样,只有更多的锻炼才能更加灵活,思维导图可以很好的锻炼我们的思维,包括发散思维.图像思维.系统思维.条理性思维.主次思维和空间思维等.快给你的的思维报一个思维导图强化班吧. 为什么导 ...

4. SwiftUI：看我展示52张扑克牌，“很快啊!”

   目录 思路 效果图 相关代码解析 枚举创建扑克牌号码 枚举创建扑克牌类型 viewModel逻辑 UI实现 源码 感受 思路 使用 SwiftUI 创建 UI 结构: 使用 swift 的枚举和结构体 ...

5. Mockito 结合 Springboot 进行应用测试

   Spring Boot可以和大部分流行的测试框架协同工作:通过Spring JUnit创建单元测试:生成测试数据初始化数据库用于测试:Spring Boot可以跟BDD(Behavier Driven ...

6. 用微信表情翻译表白，程序员的小浪漫，赶紧Get起来！

7. C语言编程学习者问答第一期，看看这些问题你出现过吗？

   今天给大家分享我们学习基地的小伙伴遇到的问题,以及正确回答,看看这些问题你遇到过吗~ 1.这张图片文字"第二段"后面的说法是否有问题?   回答: 这是二进制的加法,很多人会误解减 ...

8. 课时一：JS操作数据

   课时一:JS操作数据 JSAPI请求头 xmlhttp.setRequestHeader("Content-Type", "application/json; chars ...

9. 流量控制--6.Classful Queuing Disciplines (qdiscs)

   Classful Queuing Disciplines 可以使用classful qdisc的代理来解锁Linux流量控制的灵活性和控制力.classful qdisc可以附加过滤器,允许将报文重定 ...

10. CentOS下的IPMI尝试

    1.载入支持 ipmi 功能的系统模块 modprobe ipmi_msghandler modprobe ipmi_devintf modprobe ipmi_poweroff modprobe i ...