java - 创建白名单以防范基于 Java 的应用程序中的 XSS 漏洞

Question

我正在编写一个 servlet 过滤器来保护站点免受 XSS 漏洞的影响。我需要一个可以针对 HTTPRequest 应用的白名单，以便我可以避免任何恶意脚本和字符。

我可以使用正则表达式作为白名单吗？我应该使用哪个正则表达式才能包含 URL 的所有字符。也欢迎任何其他解决方案。

请建议我如何为应用程序的 URL 创建白名单。

提前致谢。

更新 - 请不要对其投反对票。请参阅评论中我的研究。我已经对此进行了很多研究。

Answer 1

您需要使用真正的HTML解析器来防止XSS，例如JSoup。不要使用正则表达式。

这是我为 Spring Security 制作的一个简单过滤器，它可以阻止(希望)所有入站 XSS:

http://blog.databasepatterns.com/2015/08/simple-inbound-xss-filter-for-spring.html

您可以针对非 Spring 环境修改它，或者允许某些标记，就像 Hibernate Validator 的 @SafeHTML 注释所做的那样。