项目在漏洞扫描时发现xss漏洞， 本以为是常见漏洞，网上有很多解决方案，应该能很快搞定，但实际上文章看了不少，却并未找到十分“顺手”的解决方案。
历经波折终于完成了一套自己想要的方案，现将过程分享出来，希望能帮助到遇到同样的问题人。
方案目标：
- 只配置一次，与业务接口无关
- 过滤两种请求的参数：Content-Type为form表单(application/x-www-form-urlencoded)和 json(application/json)
application/json
对于json请求，spring mvc默认使用MappingJackson2HttpMessageConverter转换器，
而它是使用jackson来序列化对象的，如果我们能 将jackson的序列化和反序列化过程修改，加入过滤xss代码，并将其注册到MappingJackson2HttpMessageConverter中，那么就能解决json请求的xss问题，而且我相信jackson肯定有这种接口。
具体实现：
StdSerializer<T>
自定义序列化类
/**
* 序列化
* @date: 2017-12-15.
*/
public class DefaultJsonSerializer extends StdSerializer<String> {
public DefaultJsonSerializer() {
this(null);
}
public DefaultJsonSerializer(Class<String> t) {
super(t);
}
@Override
public void serialize(String value, JsonGenerator gen, SerializerProvider serializers)
throws IOException {
// xss策略在此执行
String safe = HtmlUtils.htmlEscape(value, "utf-8");
gen.writeString(safe);
}
}
StdDeserializer<T>
自定义反序列化类
/**
* 反序列化
* @date: 2017-12-15.
*/
public class DefaultJsonDeserializer extends StdDeserializer<String> {
public DefaultJsonDeserializer() {
this(null);
}
public DefaultJsonDeserializer(Class<String> t) {
super(t);
}
@Override
public String deserialize(JsonParser p, DeserializationContext ctxt)
throws IOException {
String value = p.getValueAsString();
if (StringUtils.isEmpty(value)) {
return value;
} else {
value = HtmlUtils.htmlEscape(value.toString(), "utf-8");
return value;
}
}
}
配置HttpMessageConverter<T>
java config配置
// WebMvcConfigurerAdapter子类中添加如下代码：
@Override
public void configureMessageConverters(List<HttpMessageConverter<?>> converters) {
SimpleModule module = new SimpleModule();
module.addDeserializer(String.class, new DefaultJsonDeserializer());
module.addSerializer(String.class, new DefaultJsonSerializer());
ObjectMapper mapper = Jackson2ObjectMapperBuilder.json().build();
//注册自定义的序列化和反序列化器
mapper.registerModule(module);
MappingJackson2HttpMessageConverter converter = new MappingJackson2HttpMessageConverter(mapper);
converters.add(converter);
}
// configureMessageConverters会覆盖spring默认的转换器，如果想额外添加一个自定义的转换器
重写extendMessageConverters方法
@Override
public void extendMessageConverters(List<HttpMessageConverter<?>> converters) {
//...额外添加转换器....
}
xml配置
<mvc:annotation-driven>
<mvc:message-converters register-defaults="true">
<bean ref="jsonConverter"/>
</mvc:message-converters>
</mvc:annotation-driven>
<!--
配置MappingJackson2HttpMessageConverter
记得给它注入添加了DefaultJsonDeserializer、DefaultJsonSerializer的ObjectMapper
-->
application/x-www-form-urlencoded
使用@InitBinder，控制器中添加如下代码
@InitBinder
public void initBinder(WebDataBinder binder) {
// 注意CustomStringEditor为非线程安全类，故这里需构建对象，不能直接
// 注入bean
binder.registerCustomEditor(String.class, new CustomStringEditor());
}
自定义类型转换器 继承PropertyEditorSupport
public class CustomStringEditor extends PropertyEditorSupport {
@Override
public void setAsText(String text) throws IllegalArgumentException {
if (text == null || text.equals("")) {
text = "";
}
// xss过滤，表单提交时封装参数，String类型会经过此处
text = HtmlUtils.htmlEscape(text, "utf-8");
setValue(text);
}
@Override
public String getAsText() {
return getValue().toString();
}
}
接下来，启动测试即可。
目前代码已经存放到github上，欢迎star 和 fork，指出问题，一起学习交流
github地址：SpringMvc防御XSS实践
源码地址：spring mvc xss防御
