Java中防止SQL注入和XSS攻擊的處理指南
更新時間：2025年10月21日 09:47:20 作者：天天進步2015
在當(dāng)今互聯(lián)網(wǎng)時代,Web應(yīng)用安全已成為開發(fā)者必須重視的核心問題,SQL注入和XSS攻擊作為OWASP?Top?10中的常見威脅,本文將深入探討這兩種攻擊方式的原理,并提供Java開發(fā)中的實用防護方案
在當(dāng)今互聯(lián)網(wǎng)時代，Web應(yīng)用安全已成為開發(fā)者必須重視的核心問題。SQL注入和XSS攻擊作為OWASP Top 10中的常見威脅，每年都會給企業(yè)和用戶帶來巨大損失。本文將深入探討這兩種攻擊方式的原理，并提供Java開發(fā)中的實用防護方案。
一、SQL注入攻擊：數(shù)據(jù)庫的噩夢
什么是SQL注入
SQL注入是指攻擊者通過在應(yīng)用程序的輸入字段中插入惡意SQL代碼，從而操縱數(shù)據(jù)庫查詢的一種攻擊方式。當(dāng)應(yīng)用程序直接將用戶輸入拼接到SQL語句中而不進行適當(dāng)驗證時，就可能遭受此類攻擊。
攻擊示例
假設(shè)有一個簡單的登錄驗證代碼：
String username = request.getParameter("username");
String password = request.getParameter("password");
String sql = "SELECT * FROM users WHERE username='" + username +
"' AND password='" + password + "'";
Statement stmt = connection.createStatement();
ResultSet rs = stmt.executeQuery(sql);
攻擊者可以輸入以下內(nèi)容：
- 用戶名:
admin' -- - 密碼: 任意內(nèi)容
實際執(zhí)行的SQL變成：
SELECT * FROM users WHERE username='admin' --' AND password='xxx'
注釋符 -- 會使密碼驗證部分失效，攻擊者無需知道密碼即可登錄。
SQL注入的預(yù)防措施
1. 使用預(yù)編譯語句（PreparedStatement）
這是防御SQL注入最有效的方法：
String sql = "SELECT * FROM users WHERE username=? AND password=?"; PreparedStatement pstmt = connection.prepareStatement(sql); pstmt.setString(1, username); pstmt.setString(2, password); ResultSet rs = pstmt.executeQuery();
原理： PreparedStatement會將參數(shù)值作為純數(shù)據(jù)處理，而非SQL代碼的一部分，從而避免注入攻擊。
2. 使用ORM框架
現(xiàn)代ORM框架如Hibernate、MyBatis等都內(nèi)置了防SQL注入機制：
// MyBatis示例
@Select("SELECT * FROM users WHERE username=#{username} AND password=#{password}")
User findUser(@Param("username") String username, @Param("password") String password);
使用 #{} 而非 ${} 可以確保參數(shù)被正確轉(zhuǎn)義。
3. 輸入驗證與白名單
對用戶輸入進行嚴格驗證：
public boolean isValidUsername(String username) {
// 只允許字母、數(shù)字和下劃線
return username.matches("^[a-zA-Z0-9_]{3,20}$");
}
4. 最小權(quán)限原則
數(shù)據(jù)庫賬戶應(yīng)僅擁有必要的權(quán)限：
-- 為應(yīng)用創(chuàng)建專用賬戶，不授予DROP、CREATE等危險權(quán)限 GRANT SELECT, INSERT, UPDATE ON database.* TO 'app_user'@'localhost';
5. 錯誤信息處理
避免向用戶暴露詳細的數(shù)據(jù)庫錯誤信息：
try {
// 數(shù)據(jù)庫操作
} catch (SQLException e) {
logger.error("Database error", e);
// 向用戶返回通用錯誤信息
return "操作失敗，請稍后重試";
}
二、XSS攻擊：瀏覽器中的陷阱
什么是XSS攻擊
跨站腳本攻擊（Cross-Site Scripting，XSS）是指攻擊者在網(wǎng)頁中注入惡意腳本，當(dāng)其他用戶瀏覽該網(wǎng)頁時，惡意腳本會在他們的瀏覽器中執(zhí)行，從而竊取cookie、會話令牌或其他敏感信息。
XSS攻擊類型
1. 反射型XSS（非持久型）
攻擊代碼通過URL參數(shù)傳遞，立即反射到頁面：
// 危險代碼
String keyword = request.getParameter("search");
out.println("<div>搜索結(jié)果：" + keyword + "</div>");
攻擊URL: http://example.com/search?keyword=<script>alert(document.cookie)</script>
2. 存儲型XSS（持久型）
惡意腳本被存儲在數(shù)據(jù)庫中，影響所有訪問用戶：
// 危險代碼：用戶評論未經(jīng)過濾直接存儲和顯示
String comment = request.getParameter("comment");
// 存入數(shù)據(jù)庫
// 后續(xù)從數(shù)據(jù)庫讀取并直接輸出到頁面
out.println("<div class='comment'>" + comment + "</div>");
3. DOM型XSS
通過操縱DOM環(huán)境實現(xiàn)攻擊，完全在客戶端執(zhí)行。
XSS攻擊的預(yù)防措施
1. 輸出編碼（最重要）
對所有用戶輸入進行HTML編碼后再輸出：
import org.apache.commons.text.StringEscapeUtils;
String userInput = request.getParameter("input");
String safeOutput = StringEscapeUtils.escapeHtml4(userInput);
out.println("<div>" + safeOutput + "</div>");
編碼效果：
<script>→<script>"→"'→'
2. 使用安全的模板引擎
現(xiàn)代模板引擎默認會進行轉(zhuǎn)義：
<!-- JSP中使用JSTL -->
<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %>
<c:out value="${userInput}" />
<!-- Thymeleaf自動轉(zhuǎn)義 -->
<div th:text="${userInput}"></div>
3. Content Security Policy (CSP)
通過HTTP頭限制可執(zhí)行腳本的來源：
response.setHeader("Content-Security-Policy",
"default-src 'self'; script-src 'self' https://trusted-cdn.com");
4. HttpOnly Cookie
防止JavaScript訪問敏感Cookie：
Cookie sessionCookie = new Cookie("JSESSIONID", sessionId);
sessionCookie.setHttpOnly(true);
sessionCookie.setSecure(true); // 僅通過HTTPS傳輸
response.addCookie(sessionCookie);
5. 輸入驗證
雖然不能完全防御XSS，但可以作為縱深防御的一層：
public String sanitizeInput(String input) {
// 移除潛在危險字符
return input.replaceAll("[<>\"']", "");
}
6. 使用專業(yè)的安全庫
OWASP Java Encoder提供了全面的編碼方案：
import org.owasp.encoder.Encode; // HTML編碼 String safe = Encode.forHtml(userInput); // JavaScript編碼 String jsValue = Encode.forJavaScript(userInput); // URL編碼 String urlValue = Encode.forUriComponent(userInput);
三、綜合防護策略
1. 安全開發(fā)生命周期
將安全考慮融入開發(fā)的每個階段：
- 設(shè)計階段： 進行威脅建模
- 開發(fā)階段： 遵循安全編碼規(guī)范
- 測試階段： 進行安全測試和代碼審查
- 部署階段： 配置安全的運行環(huán)境
2. 使用安全框架
Spring Security提供了全面的安全保護：
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.headers()
.contentSecurityPolicy("script-src 'self'")
.and()
.xssProtection()
.and()
.csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse());
}
}
3. 定期安全審計
- 使用靜態(tài)代碼分析工具（如SonarQube、Checkmarx）
- 進行滲透測試
- 及時更新依賴庫，修復(fù)已知漏洞
4. 安全配置檢查清單
// web.xml或Spring Boot配置 // 1. 啟用HTTPS server.ssl.enabled=true // 2. 設(shè)置安全頭 server.servlet.session.cookie.http-only=true server.servlet.session.cookie.secure=true // 3. 隱藏服務(wù)器信息 server.server-header= // 4. 會話超時設(shè)置 server.servlet.session.timeout=30m
四、實戰(zhàn)案例：構(gòu)建安全的用戶評論系統(tǒng)
下面展示一個綜合應(yīng)用安全防護措施的完整示例：
@RestController
@RequestMapping("/api/comments")
public class CommentController {
@Autowired
private CommentService commentService;
@PostMapping
public ResponseEntity<String> addComment(
@RequestParam String content,
@RequestParam Integer articleId) {
// 1. 輸入驗證
if (content == null || content.trim().isEmpty()) {
return ResponseEntity.badRequest().body("評論內(nèi)容不能為空");
}
if (content.length() > 500) {
return ResponseEntity.badRequest().body("評論內(nèi)容過長");
}
// 2. XSS防護：使用安全庫編碼
String safeContent = Encode.forHtml(content);
// 3. SQL注入防護：Service層使用PreparedStatement或ORM
try {
commentService.saveComment(safeContent, articleId);
return ResponseEntity.ok("評論發(fā)布成功");
} catch (Exception e) {
// 4. 錯誤處理：不暴露敏感信息
logger.error("Failed to save comment", e);
return ResponseEntity.status(500).body("服務(wù)器錯誤，請稍后重試");
}
}
@GetMapping("/{articleId}")
public ResponseEntity<List<CommentDTO>> getComments(@PathVariable Integer articleId) {
// 評論在返回時已經(jīng)過編碼，前端可以安全顯示
List<CommentDTO> comments = commentService.getCommentsByArticle(articleId);
return ResponseEntity.ok(comments);
}
}
// Service層
@Service
public class CommentService {
@Autowired
private JdbcTemplate jdbcTemplate;
public void saveComment(String content, Integer articleId) {
// 使用PreparedStatement防止SQL注入
String sql = "INSERT INTO comments (article_id, content, create_time) VALUES (?, ?, ?)";
jdbcTemplate.update(sql, articleId, content, new Timestamp(System.currentTimeMillis()));
}
public List<CommentDTO> getCommentsByArticle(Integer articleId) {
String sql = "SELECT id, content, create_time FROM comments WHERE article_id = ? ORDER BY create_time DESC";
return jdbcTemplate.query(sql, new Object[]{articleId}, new CommentRowMapper());
}
}
五、總結(jié)
Web安全是一個持續(xù)的過程，而非一次性任務(wù)。針對SQL注入和XSS攻擊，我們需要：
對于SQL注入：
- 始終使用PreparedStatement或ORM框架
- 實施嚴格的輸入驗證
- 遵循最小權(quán)限原則
- 妥善處理錯誤信息
對于XSS攻擊：
- 對所有用戶輸入進行輸出編碼
- 使用安全的模板引擎
- 配置CSP和HttpOnly Cookie
- 采用縱深防御策略
通用建議：
- 保持安全意識，將安全融入開發(fā)流程
- 使用成熟的安全框架和庫
- 定期進行安全審計和滲透測試
- 及時更新依賴，修復(fù)已知漏洞
以上就是Java中防止SQL注入和XSS攻擊的處理指南的詳細內(nèi)容，更多關(guān)于Java防止SQL注入和XSS攻擊的資料請關(guān)注腳本之家其它相關(guān)文章！
相關(guān)文章
給大家整理了現(xiàn)在很熱門的java程序員面試時候的筆試試題以及答案，希望能幫助到你。2017-11-11
這篇文章主要介紹了SpringBoot微信掃碼支付的實現(xiàn)示例,文中通過示例代碼介紹的非常詳細，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2021-01-01
JavaWeb響應(yīng)下載功能實例代碼（包含工具類）
今天通過本文給大家分享的是關(guān)于javaweb的響應(yīng)（response）下載功能，需要的朋友參考下吧2017-07-07![Java main方法String[]args原理實例解析](http://img.jbzj.com/images/xgimg/bcimg3.png)
這篇文章主要介紹了Java main方法String[]args原理實例解析,文中通過示例代碼介紹的非常詳細，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值,需要的朋友可以參考下2020-06-06
今天帶大家學(xué)習(xí)SpringBoot參數(shù)校驗的方法,文中有非常詳細的代碼示例,對正在學(xué)習(xí)java的小伙伴們有很好地幫助,需要的朋友可以參考下2021-05-05
本篇文章介紹了，在java中泛型的總結(jié)分析。需要的朋友參考下2013-05-05
Springboot中@Value注解的場景用法及可能遇到的問題詳解
這篇文章主要給大家介紹了關(guān)于Springboot中@Value注解的場景用法及可能遇到問題的相關(guān)資料, @Value通常用于注入外部化屬性,即外部配置屬性的注入,文中通過圖文介紹的非常詳細,需要的朋友可以參考下2023-11-11
SpringBoot 多任務(wù)并行+線程池處理的實現(xiàn)
這篇文章主要介紹了SpringBoot 多任務(wù)并行+線程池處理的實現(xiàn),小編覺得挺不錯的，現(xiàn)在分享給大家，也給大家做個參考。一起跟隨小編過來看看吧2018-04-04
基于CyclicBarrier和CountDownLatch的使用區(qū)別說明
這篇文章主要介紹了基于CyclicBarrier和CountDownLatch的使用區(qū)別說明，具有很好的參考價值，希望對大家有所幫助。一起跟隨小編過來看看吧2020-09-09
本文給大家詳細介紹從零搭建SpringCloud的超詳細過程,本文通過圖文實例代碼相結(jié)合給大家介紹的非常詳細,對大家的學(xué)習(xí)或工作具有一定的參考借鑒價值,需要的朋友參考下吧2025-09-09