springboot項目防止XSS攻擊和sql注入方式
更新時間：2023年07月19日 09:44:14 作者：yy1209357299
這篇文章主要介紹了springboot項目防止XSS攻擊和sql注入方式，具有很好的參考價值，希望對大家有所幫助。如有錯誤或未考慮完全的地方，望不吝賜教
1、XSS跨站腳本攻擊
①：XSS漏洞介紹
跨站腳本攻擊XSS是指攻擊者往Web頁面里插入惡意Script代碼，當用戶瀏覽該頁之時，嵌入其中Web里面的Script代碼會被解析執(zhí)行，從而達到惡意攻擊用戶的目的。
XSS攻擊針對的是用戶層面的攻擊！
②：XSS漏洞分類
存儲型XSS：存儲型XSS，持久化，代碼是存儲在服務器中的，如在個人信息或發(fā)表文章等地方，插入代碼，如果沒有過濾或過濾不嚴，那么這些代碼將儲存到服務器中，用戶訪問該頁面的時候觸發(fā)代碼執(zhí)行。
這種XSS比較危險，容易造成蠕蟲，盜竊cookie
反射型XSS：非持久化，需要欺騙用戶自己去點擊鏈接才能觸發(fā)XSS代碼（服務器中沒有這樣的頁面和內(nèi)容），一般容易出現(xiàn)在搜索頁面
③：防護建議
限制用戶輸入，表單數(shù)據(jù)規(guī)定值得類型，例如年齡只能是int，name為字母數(shù)字組合
- 對數(shù)據(jù)進行html encode處理
- 過濾或移除特殊的html標簽
- 過濾javascript事件的標簽
2、 SQL注入攻擊
①：SQL注入漏洞介紹
SQL注入（SQLi）是一種注入攻擊，可以執(zhí)行惡意SQL語句。它通過將任意SQL代碼插入數(shù)據(jù)庫查詢，使攻擊者能夠完全控制Web應用程序后面的數(shù)據(jù)庫服務器。攻擊者可以使用SQL注入漏洞繞過應用程序安全措施；可以繞過網(wǎng)頁或Web應用程序的身份驗證和授權，并檢索整個SQL數(shù)據(jù)庫的內(nèi)容；還可以使用SQL注入來添加，修改和刪除數(shù)據(jù)庫中的記錄。
SQL注入漏洞可能會影響使用SQL數(shù)據(jù)庫（如MySQL，Oracle，SQL Server或其他）的任何網(wǎng)站或Web應用程序。犯罪分子可能會利用它來未經(jīng)授權訪問用戶的敏感數(shù)據(jù)：客戶信息，個人數(shù)據(jù)，商業(yè)機密，知識產(chǎn)權等。SQL注入攻擊是最古老，最流行，最危險的Web應用程序漏洞之一
②：防護建議
使用mybatis中#{}可以有效防止sql注入
- 使用#{}時
<select id="getBlogById" resultType="Blog" parameterType=”int”>
select id,title,author,content
from blog where id=#{id}
</select>
打印出執(zhí)行的sql語句，會看到sql是這樣的：
select id,title,author,content from blog where id = ?
不管輸入什么參數(shù)，打印出的sql都是這樣的。
這是因為mybatis啟用了預編譯功能，在sql執(zhí)行前，會先將上面的sql發(fā)送給數(shù)據(jù)庫進行編譯，執(zhí)行時，直接使用編譯好的sql，替換占位符“？”就可以了。
因為sql注入只能對編譯過程起作用，所以像#{}這樣預編譯成？的方式就很好地避免了sql注入的問題
mybatis是如何做到sql預編譯的呢？
其實在框架底層，是jdbc中的PreparedStatement類在起作用，PreparedStatement是我們很熟悉的Statement的子類，它的對象包含了編譯好的sql語句。
這種“準備好”的方式不僅能提高安全性，而且在多次執(zhí)行一個sql時，能夠提高效率，原因是sql已編譯好，再次執(zhí)行時無需再編譯
- 使用${}時
<select id="orderBlog" resultType="Blog" parameterType=”map”> select id,title,author,content from blog order by ${<!-- -->orderParam}</select>仔細觀察，內(nèi)聯(lián)參數(shù)的格式由“#{<!-- -->xxx}”變?yōu)榱?{<!-- -->xxx}。如果我們給參數(shù)“orderParam”賦值為”id”,將sql打印出來，是這樣的：select id,title,author,contet from blog order by id<select id="orderBlog" resultType="Blog" parameterType=”map”>
select id,title,author,content
from blog order by ${orderParam}
</select>仔細觀察，內(nèi)聯(lián)參數(shù)的格式由“#{xxx}”變?yōu)榱?{xxx}。如果我們給參數(shù)“orderParam”賦值為”id”,將sql打印出來，是這樣的：
select id,title,author,contet from blog order by id
顯然，這樣是無法阻止sql注入的，參數(shù)會直接參與sql編譯，從而不能避免注入攻擊。但涉及到動態(tài)表名和列名時，只能使用“${}”這樣的參數(shù)格式，所以，這樣的參數(shù)需要我們在代碼中手工進行處理來防止注入
3、 SpringBoot中如何防止XSS攻擊和sql注入
對于Xss攻擊和Sql注入，我們可以通過過濾器來搞定，可根據(jù)業(yè)務需要排除部分請求
①：創(chuàng)建Xss請求過濾類
XssAndSqlHttpServletRequestWrapper
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import org.springframework.util.StreamUtils;
import javax.servlet.ReadListener;
import javax.servlet.ServletInputStream;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
import java.io.BufferedReader;
import java.io.ByteArrayInputStream;
import java.io.IOException;
import java.io.InputStreamReader;
import java.util.*;
import java.util.regex.Pattern;
/**
* @author code
* @version 1.0
* @Date 2023/2/7 10:38
* @Description ${DESCRIPTION}
*/
public class XssAndSqlHttpServletRequestWrapper extends HttpServletRequestWrapper {
private final Logger logger = LoggerFactory.getLogger(XssAndSqlHttpServletRequestWrapper.class);
private String key = "and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|;|or|-|+";
private Set<String> notAllowedKeyWords = new HashSet<String>(0);
HttpServletRequest orgRequest = null;
private Map<String, String[]> parameterMap;
private final byte[] body; //用于保存讀取body中數(shù)據(jù)
public XssAndSqlHttpServletRequestWrapper(HttpServletRequest request) throws IOException {
super(request);
orgRequest = request;
parameterMap = request.getParameterMap();
body = StreamUtils.copyToByteArray(request.getInputStream());
String keyStr[] = key.split("\\|");
for (String str : keyStr) {
notAllowedKeyWords.add(str);
}
}
// 重寫幾個HttpServletRequestWrapper中的方法
/**
* 獲取所有參數(shù)名
*
* @return 返回所有參數(shù)名
*/
@Override
public Enumeration<String> getParameterNames() {
Vector<String> vector = new Vector<String>(parameterMap.keySet());
return vector.elements();
}
/**
* 覆蓋getParameter方法，將參數(shù)名和參數(shù)值都做xss & sql過濾。<br>
* 如果需要獲得原始的值，則通過super.getParameterValues(name)來獲取<br>
* getParameterNames,getParameterValues和getParameterMap也可能需要覆蓋
*/
@Override
public String getParameter(String name) {
String[] results = parameterMap.get(name);
if (results == null || results.length == 0)
return null;
else {
String value = results[0];
if (value != null) {
value = xssEncode(value);
}
return value;
}
}
@Override
public Map<String, String[]> getParameterMap() {
Map<String,String[]> values = super.getParameterMap();
if(null == values){
return null;
}
Map<String,String[]> result = new HashMap<>();
for (String key : values.keySet()) {
String encodedKey = xssEncode(key);
int count = values.get(key).length;
String[] encodedValues = new String[count];
for(int i = 0;i < count;i++){
encodedValues[i] = xssEncode(values.get(key)[i]);
}
result.put(encodedKey,encodedValues);
}
return result;
}
/**
* 獲取指定參數(shù)名的所有值的數(shù)組，如：checkbox的所有數(shù)據(jù) 接收數(shù)組變量 ，如checkobx類型
*/
@Override
public String[] getParameterValues(String name) {
String[] results = parameterMap.get(name);
if (results == null || results.length == 0)
return null;
else {
int length = results.length;
for (int i = 0; i < length; i++) {
results[i] = xssEncode(results[i]);
}
return results;
}
}
/**
* 覆蓋getHeader方法，將參數(shù)名和參數(shù)值都做xss & sql過濾。<br>
* 如果需要獲得原始的值，則通過super.getHeaders(name)來獲取<br>
* getHeaderNames 也可能需要覆蓋
*/
@Override
public String getHeader(String name) {
String value = super.getHeader(xssEncode(name));
if (value != null) {
value = xssEncode(value);
}
return value;
}
/**
* 將容易引起xss & sql漏洞的半角字符直接替換成全角字符
*
* @param s
* @return
*/
private String xssEncode(String s) {
if (s == null || s.isEmpty()) {
return s;
} else {
s = stripXSSAndSql(s);
}
StringBuilder sb = new StringBuilder(s.length() + 16);
for (int i = 0; i < s.length(); i++) {
char c = s.charAt(i);
switch (c) {
case '>':
sb.append("＞");// 轉(zhuǎn)義大于號
break;
case '<':
sb.append("＜");// 轉(zhuǎn)義小于號
break;
case '\'':
sb.append("＇");// 轉(zhuǎn)義單引號
break;
case '\"':
sb.append("＂");// 轉(zhuǎn)義雙引號
break;
case '&':
sb.append("＆");// 轉(zhuǎn)義&
break;
case '#':
sb.append("＃");// 轉(zhuǎn)義#
break;
default:
sb.append(c);
break;
}
}
return sb.toString();
}
/**
* 獲取最原始的request
*
* @return
*/
public HttpServletRequest getOrgRequest() {
return orgRequest;
}
/**
* 獲取最原始的request的靜態(tài)方法
*
* @return
*/
@SuppressWarnings("unused")
public HttpServletRequest getOrgRequest(HttpServletRequest req) {
if (req instanceof XssAndSqlHttpServletRequestWrapper) {
return ((XssAndSqlHttpServletRequestWrapper) req).getOrgRequest();
}
return req;
}
/**
*
* 防止xss跨腳本攻擊(替換，根據(jù)實際情況調(diào)整)
*/
public String stripXSSAndSql(String value) {
if (value != null) {
// NOTE: It's highly recommended to use the ESAPI library and
// uncomment the following line to
// avoid encoded attacks.
// value = ESAPI.encoder().canonicalize(value);
// Avoid null characters
/** value = value.replaceAll("", ""); ***/
// Avoid anything between script tags
Pattern scriptPattern = Pattern.compile(
"<[\r\n| | ]*script[\r\n| | ]*>(.*?)<!--[\r\n| | ]*script[\r\n| | ]*-->", Pattern.CASE_INSENSITIVE);
value = scriptPattern.matcher(value).replaceAll("");
// Avoid anything in a
// src="http://www.yihaomen.com/article/java/..." type of
// e-xpression
scriptPattern = Pattern.compile("src[\r\n| | ]*=[\r\n| | ]*[\\\"|\\\'](.*?)[\\\"|\\\']",
Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
value = scriptPattern.matcher(value).replaceAll("");
// Remove any lonesome tag
scriptPattern = Pattern.compile("<!--[\r\n| | ]*script[\r\n| | ]*-->", Pattern.CASE_INSENSITIVE);
value = scriptPattern.matcher(value).replaceAll("");
// Remove any lonesome <script ...> tag
scriptPattern = Pattern.compile("<[\r\n| | ]*script(.*?)>",
Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
value = scriptPattern.matcher(value).replaceAll("");
// Avoid eval(...) expressions
scriptPattern = Pattern.compile("eval\\((.*?)\\)",
Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
value = scriptPattern.matcher(value).replaceAll("");
// Avoid e-xpression(...) expressions
scriptPattern = Pattern.compile("e-xpression\\((.*?)\\)",
Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
value = scriptPattern.matcher(value).replaceAll("");
// Avoid javascript:... expressions
scriptPattern = Pattern.compile("javascript[\r\n| | ]*:[\r\n| | ]*", Pattern.CASE_INSENSITIVE);
value = scriptPattern.matcher(value).replaceAll("");
// Avoid vbscript:... expressions
scriptPattern = Pattern.compile("vbscript[\r\n| | ]*:[\r\n| | ]*", Pattern.CASE_INSENSITIVE);
value = scriptPattern.matcher(value).replaceAll("");
// Avoid οnlοad= expressions
scriptPattern = Pattern.compile("onload(.*?)=",
Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
value = scriptPattern.matcher(value).replaceAll("");
}
return value;
}
public boolean checkXSSAndSql(String value) {
boolean flag = false;
if (value != null) {
// NOTE: It's highly recommended to use the ESAPI library and
// uncomment the following line to
// avoid encoded attacks.
// value = ESAPI.encoder().canonicalize(value);
// Avoid null characters
/** value = value.replaceAll("", ""); ***/
// Avoid anything between script tags
Pattern scriptPattern = Pattern.compile(
"<[\r\n| | ]*script[\r\n| | ]*>(.*?)</[\r\n| | ]*script[\r\n| | ]*>", Pattern.CASE_INSENSITIVE);
flag = scriptPattern.matcher(value).find();
if (flag) {
return flag;
}
// Avoid anything in a
// src="http://www.yihaomen.com/article/java/..." type of
// e-xpression
scriptPattern = Pattern.compile("src[\r\n| | ]*=[\r\n| | ]*[\\\"|\\\'](.*?)[\\\"|\\\']",
Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
flag = scriptPattern.matcher(value).find();
if (flag) {
return flag;
}
// Remove any lonesome </script> tag
scriptPattern = Pattern.compile("<!--[\r\n| | ]*script[\r\n| | ]*-->", Pattern.CASE_INSENSITIVE);
flag = scriptPattern.matcher(value).find();
if (flag) {
return flag;
}
// Remove any lonesome <script ...> tag
scriptPattern = Pattern.compile("<[\r\n| | ]*script(.*?)>",
Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
flag = scriptPattern.matcher(value).find();
if (flag) {
return flag;
}
// Avoid eval(...) expressions
scriptPattern = Pattern.compile("eval\\((.*?)\\)",
Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
flag = scriptPattern.matcher(value).find();
if (flag) {
return flag;
}
// Avoid e-xpression(...) expressions
scriptPattern = Pattern.compile("e-xpression\\((.*?)\\)",
Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
flag = scriptPattern.matcher(value).find();
if (flag) {
return flag;
}
// Avoid javascript:... expressions
scriptPattern = Pattern.compile("javascript[\r\n| | ]*:[\r\n| | ]*", Pattern.CASE_INSENSITIVE);
flag = scriptPattern.matcher(value).find();
if (flag) {
return flag;
}
// Avoid vbscript:... expressions
scriptPattern = Pattern.compile("vbscript[\r\n| | ]*:[\r\n| | ]*", Pattern.CASE_INSENSITIVE);
flag = scriptPattern.matcher(value).find();
if (flag) {
return flag;
}
// Avoid οnlοad= expressions
scriptPattern = Pattern.compile("onload(.*?)=",
Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
flag = scriptPattern.matcher(value).find();
if (flag) {
return flag;
}
flag = checkSqlKeyWords(value);
}
return flag;
}
public boolean checkSqlKeyWords(String value){
String paramValue = value;
for (String keyword : notAllowedKeyWords) {
if (paramValue.length() > keyword.length() + 4
&& (paramValue.contains(" "+keyword)||paramValue.contains(keyword+" ")||paramValue.contains(" "+keyword+" "))) {
logger.error(this.getRequestURI()+ "參數(shù)中包含不允許sql的關鍵詞(" + keyword
+ ")");
return true;
}
}
return false;
}
public final boolean checkParameter() {
@SuppressWarnings({ "unchecked", "rawtypes" })
Map<String, String[]> submitParams = new HashMap(parameterMap);
Set<String> submitNames = submitParams.keySet();
for (String submitName : submitNames) {
Object submitValues = submitParams.get(submitName);
if ((submitValues instanceof String)) {
if (checkXSSAndSql((String) submitValues)) {
return true;
}
} else if ((submitValues instanceof String[])) {
for (String submitValue : (String[])submitValues){
if (checkXSSAndSql(submitValue)) {
return true;
}
}
}
}
return false;
}
@Override
public BufferedReader getReader() throws IOException {
return new BufferedReader(new InputStreamReader(getInputStream()));
}
@Override
public ServletInputStream getInputStream() throws IOException {
final ByteArrayInputStream bais = new ByteArrayInputStream(body);
return new ServletInputStream() {
@Override
public int read() throws IOException {
return bais.read();
}
@Override
public boolean isFinished() {
// TODO Auto-generated method stub
return false;
}
@Override
public boolean isReady() {
// TODO Auto-generated method stub
return false;
}
@Override
public void setReadListener(ReadListener arg0) {
// TODO Auto-generated method stub
}
};
}
}②：把請求過濾類XssAndSqlHttpServletRequestWrapper添加到Filter中
注入容器
import com.fwpt.common.core.config.XssAndSqlHttpServletRequestWrapper;
import org.apache.commons.lang3.StringUtils;
import org.springframework.stereotype.Component;
import javax.servlet.*;
import javax.servlet.annotation.WebFilter;
import javax.servlet.http.HttpServletRequest;
import java.io.BufferedReader;
import java.io.IOException;
import java.io.PrintWriter;
/**
* @author code
* @version 1.0
* @Date 2023/2/7 10:40
* @Description ${sql xss過濾器}
*/
@WebFilter
@Component
public class CrosXssFilter implements Filter {
@Override
public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
HttpServletRequest request = (HttpServletRequest) servletRequest;
//跨域設置
// if(servletResponse instanceof HttpServletResponse){
// HttpServletResponse httpServletResponse=(HttpServletResponse)servletResponse;
// //通過在響應 header 中設置 ‘*' 來允許來自所有域的跨域請求訪問。
// httpServletResponse.setHeader("Access-Control-Allow-Origin", "*");
// //通過對 Credentials 參數(shù)的設置，就可以保持跨域 Ajax 時的 Cookie
// //設置了Allow-Credentials，Allow-Origin就不能為*,需要指明具體的url域
// //httpServletResponse.setHeader("Access-Control-Allow-Credentials", "true");
// //請求方式
// httpServletResponse.setHeader("Access-Control-Allow-Methods", "*");
// //(預檢請求)的返回結(jié)果(即 Access-Control-Allow-Methods 和Access-Control-Allow-Headers 提供的信息) 可以被緩存多久
// httpServletResponse.setHeader("Access-Control-Max-Age", "86400");
// //首部字段用于預檢請求的響應。其指明了實際請求中允許攜帶的首部字段
// httpServletResponse.setHeader("Access-Control-Allow-Headers", "*");
// }
XssAndSqlHttpServletRequestWrapper xssRequest=new XssAndSqlHttpServletRequestWrapper(request);
String method = ((HttpServletRequest) request).getMethod();
String param = "";
if ("POST".equalsIgnoreCase(method)) {
param = this.getBodyString(xssRequest.getReader());
if(StringUtils.isNotBlank(param)){
if(xssRequest.checkXSSAndSql(param)){
servletResponse.setCharacterEncoding("UTF-8");
servletResponse.setContentType("application/json;charset=UTF-8");
PrintWriter out = servletResponse.getWriter();
out.write("param is invalid");
return;
}
}
}
if (xssRequest.checkParameter()) {
servletResponse.setCharacterEncoding("UTF-8");
servletResponse.setContentType("application/json;charset=UTF-8");
PrintWriter out = servletResponse.getWriter();
out.write("param is invalid");
return;
}
filterChain.doFilter(xssRequest, servletResponse);
}
// 獲取request請求body中參數(shù)
public String getBodyString(BufferedReader br) {
String inputLine;
String str = "";
try {
while ((inputLine = br.readLine()) != null) {
str += inputLine;
}
br.close();
} catch (IOException e) {
e.printStackTrace();
}
return str;
}
@Override
public void destroy() {
}
}總結(jié)
以上為個人經(jīng)驗，希望能給大家一個參考，也希望大家多多支持腳本之家。
相關文章
下面小編就為大家?guī)硪黄狫ava基礎的幾道練習題(分享)。小編覺得挺不錯的，現(xiàn)在就分享給大家，也給大家做個參考。一起跟隨小編過來看看吧，希望可以幫到你2021-07-07
這篇文章主要介紹了Java中的泛型詳解，什么是泛型，作用以及基礎實例等，喜歡的朋友可以參考2017-04-04
List調(diào)用toString()方法后,去除兩頭的中括號實例
下面小編就為大家?guī)硪黄狶ist調(diào)用toString()方法后,去除兩頭的中括號實例。希望對大家有所幫助。一起跟隨小編過來看看吧2017-03-03
java多線程開發(fā)ScheduledExecutorService簡化方式
這篇文章主要為大家介紹了java多線程開發(fā)ScheduledExecutorService的簡化方式，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進步2022-03-03
在編程中,排序算法是基礎且重要的內(nèi)容之一,本文將介紹如何使用Java語言對10個數(shù)進行排序,我們將使用幾種不同的方法來實現(xiàn)這一功能,包括使用內(nèi)置的排序方法和自定義排序算法,需要的朋友可以參考下2026-03-03
Java?使用JDBC操作PI數(shù)據(jù)庫的方法
文章介紹在Windows系統(tǒng)下使用JDBC驅(qū)動訪問PI數(shù)據(jù)庫的方法,涵蓋環(huán)境要求（JRE8+）、安裝步驟（OLEDB、SQLDAS、JDBC驅(qū)動）、連接原理及SpringBoot集成方式,感興趣的朋友跟隨小編一起看看吧2025-08-08
在現(xiàn)代應用程序中,異步編程已經(jīng)成為了必備的技能,異步編程使得應用程序可以同時處理多個請求,從而提高了應用程序的吞吐量和響應速度,在SpringBoot 中,我們可以使用 @Async 注解來實現(xiàn)異步編程,本文將介紹 @Async 注解的使用方法和注意事項2023-09-09
詳解Spring整合Quartz實現(xiàn)動態(tài)定時任務
本篇文章主要介紹了詳解Spring整合Quartz實現(xiàn)動態(tài)定時任務，具有一定的參考價值，感興趣的小伙伴們可以參考一下。2017-03-03
這篇文章主要為大家詳細介紹了java實現(xiàn)三角形分形山脈，文中示例代碼介紹的非常詳細，具有一定的參考價值，感興趣的小伙伴們可以參考一下2022-01-01
這篇文章主要介紹了SpringBoot 如何從配置文件讀取值到對象中，具有很好的參考價值，希望對大家有所幫助。如有錯誤或未考慮完全的地方，望不吝賜教2021-11-11