java - JSP/Servlet Web 应用程序中的 XSS 预防

Question

如何防止 JSP/Servlet Web 应用程序中的 XSS 攻击？

Answer 1

在 JSP 中可以通过使用 JSTL 来防止 XSS <c:out> 标签或 fn:escapeXml() (重新)显示用户控制的输入时的 EL 功能。这包括请求参数、 header 、cookie、URL、正文等。您从请求对象中提取的任何内容。此外，存储在数据库中的先前请求的用户控制输入需要在重新显示期间进行转义。

例如:

<p><c:out value="${bean.userControlledValue}"></p>
<p><input name="foo" value="${fn:escapeXml(param.foo)}"></p>

这将转义可能导致呈现的 HTML 格式错误的字符，例如 < , > , " , '和 &进入 HTML/XML entities如< , > , " , '和 & .

请注意，您无需在 Java (Servlet) 代码中转义它们，因为它们在那里是无害的。有些人可能会选择在 request 处理期间(就像您在 Servlet 或 Filter 中所做的那样)而不是 response 处理(就像您在 JSP 中所做的那样)转义它们，但是这样您可能会冒险数据不必要地被双重转义(例如 & 变成 & 而不是 & 最终用户会看到 & 被呈现)，或者数据库存储的数据变得不可移植(例如，当将数据导出到JSON、CSV、XLS、PDF 等根本不需要 HTML 转义)。您还将失去社交控制，因为您不再知道用户实际填写了什么。作为站点管理员，您真的很想知道哪些用户/IP 正在尝试执行 XSS，以便您可以轻松跟踪他们并采取相应的行动。在请求处理过程中转义应该并且仅在您确实需要在尽可能短的时间内修复开发不佳的遗留 Web 应用程序的火车残骸时才被用作最新的手段。尽管如此，您最终还是应该重写您的 JSP 文件以保证 XSS 安全。

如果您希望将用户控制的输入重新显示为 HTML，其中您希望只允许 HTML 标记的特定子集，例如 <b> , <i> , <u>等，那么您需要通过白名单来清理输入。您可以使用 HTML 解析器，如 Jsoup为了这。但是，更好的是引入一种对人类友好的标记语言，例如 Markdown(也用于 Stack Overflow)。然后你可以使用 Markdown 解析器，如 CommonMark为了这。它还具有内置的 HTML 清理功能。另见 Markdown or HTML .

服务器端唯一关心的数据库是 SQL injection预防。您需要确保从不直接在 SQL 或 JPQL 查询中对用户控制的输入进行字符串连接，并且始终使用参数化查询。在 JDBC 术语中，这意味着您应该使用 PreparedStatement 而不是 Statement .在 JPA 术语中，使用 Query .

---

另一种方法是从 JSP/Servlet 迁移到 Java EE 的 MVC 框架 JSF .它在所有地方都有内置的 XSS(和 CSRF!)预防。另见 CSRF, XSS and SQL Injection attack prevention in JSF .