1. 项目概述为什么要在Spring Boot里自己动手做XSS防御做Web开发尤其是用Spring Boot这种“全家桶”框架安全是个绕不开的话题。框架本身提供了不少安全机制比如Spring Security能防CSRF、做认证授权但唯独对XSS跨站脚本攻击的防护它没有提供一个开箱即用的、全局的解决方案。你可能会说不是有Valid注解和Thymeleaf的自动转义吗没错但这些是点状的、有条件的防御。Valid主要做数据校验Thymeleaf只在模板渲染时转义。如果你的API是前后端分离的后端直接返回JSON给前端渲染或者你用了JSP、FreeMarker等其他模板引擎且配置不当这些防护就可能失效。这就是为什么我们常常需要自己动手在请求进入业务逻辑之前就筑起一道“过滤网”。Servlet Filter过滤器就是干这事的绝佳位置。它就像海关所有进出你应用的HTTP请求和响应都要经过它。在这里对请求参数进行清洗对响应内容进行二次编码能从全局层面极大地降低XSS风险。我见过不少项目因为对用户输入过于信任直接在富文本里回显或者把用户输入拼进SQL、扔给eval()最后导致数据被窃、页面被篡改。自己实现一个XSS防御Filter虽然不能说是银弹但绝对是成本最低、见效最快的安全加固手段之一。今天我就来详细拆解一下如何从零开始打造一个健壮、可配置的XSS防御过滤器并分享那些在官方文档里找不到的实战坑点。2. 核心思路与方案选型不止是简单的字符串替换一提到防XSS很多人的第一反应是“把script标签过滤掉不就行了” 这个想法很朴素但离生产可用还差得很远。XSS的攻击载荷千变万化远不止一个script标签。我们需要一个更系统化的方案。2.1 防御策略的十字路口输入清洗 vs 输出编码防御XSS主要有两种策略它们像盾牌的两面各有侧重输入清洗Input Sanitization/Validation在数据进入应用的第一时间如Filter、Controller入参绑定处对潜在的危险字符进行过滤、转义或移除。这是“御敌于国门之外”的思路。它的优点是能保证进入业务逻辑和数据库的数据是相对“干净”的一劳永逸。但缺点也很明显可能误伤合法的富文本内容比如一篇讲解HTML技术的文章里包含div标签且清洗规则一旦有遗漏脏数据就入库了。输出编码Output Encoding在数据即将输出到不同上下文如HTML、JavaScript、URL时根据上下文进行特定的转义。这是“在最后一道防线拦截”的思路。它的优点是精准针对性强能最大程度保留原始数据。缺点是需要在每一个输出点都记得做编码容易遗漏对开发者意识要求高。我们的选择对于通过Filter实现的全局防御输入清洗是更合适的策略。因为Filter处在请求处理链的最前端我们在这里进行一道统一的、适度的清洗可以为后续所有处理环节提供一个更安全的基础。同时我们也要清醒地认识到Filter的清洗不能替代输出编码。最佳实践是两者结合在Filter层做基础的、保守的输入清洗在视图层或API响应序列化层再做严格的、上下文相关的输出编码。本文聚焦于前者。2.2 工具选型正则表达式还是专业库确定了输入清洗的策略接下来就是选择工具。无非两种自己写正则表达式或者用现成的安全库。正则表达式灵活但极易出错。XSS的变体太多攻击者会利用大小写混淆、编码绕过、换行符、空字符等技巧来绕过简单的正则匹配。维护一个能抵御所有已知变种的正则规则集是一个巨大且持续的战斗不推荐个人或普通项目采用。专业安全库这是工业级的选择。它们经过了安全社区的千锤百炼持续更新能应对各种奇技淫巧。在Java生态中OWASP Java Encoder和JSoup是两大主流。OWASP Java Encoder专注于“编码”。它提供了一组用于不同上下文HTML、JavaScript、CSS、URL的编码器。对于输入清洗我们可以使用它的Encode.forHtml(String input)等方法将危险字符转换为HTML实体如转成lt;。它的策略是“转义”而非“删除”能更好地保留数据原貌。JSoup专注于“净化”Sanitize。它提供了一个强大的HTML解析器和一个可配置的白名单过滤器。你可以指定允许哪些标签和属性通过其他一律清理掉。这对于需要接收并安全存储HTML片段如富文本编辑器内容的场景非常有用。我们的选择对于通用的请求参数清洗OWASP Java Encoder是更轻量、更合适的选择。因为它不改变数据格式只是转义了特定字符对后续的数据处理如JSON序列化、数据库存储影响最小。JSoup更适合处理已知的、需要保留部分HTML结构的场景。在本项目的Filter实现中我们将以OWASP Java Encoder为核心。2.3 Filter的设计考量包装、性能与配置确定了核心工具接下来设计Filter本身。包装HttpServletRequestServlet规范中请求参数是通过HttpServletRequest对象的getParameter、getParameterValues等方法获取的。这些方法返回的值是只读的。为了修改它们我们必须自定义一个HttpServletRequestWrapper重写这些方法在返回值之前进行清洗处理。这是实现Filter防御的关键技术点。性能影响过滤器对每个请求都会执行因此其性能至关重要。我们需要避免对同一请求的多次重复清洗。使用过于耗时的匹配算法如复杂的、回溯严重的正则。不必要的对象创建。OWASP Encoder本身性能很好但我们要注意包装器和字符串处理的开销。可配置性不是所有参数都需要清洗。例如密码字段通常不需要它不会在HTML中回显一些接收复杂JSON或二进制数据的接口也不适用。一个好的Filter应该支持排除特定URL模式或参数名。3. 核心细节解析与实操要点理解了为什么和用什么我们深入到“怎么做”的细节。这里有几个关键决策点直接决定了Filter的实用性和安全性。3.1 清洗的粒度到底洗多“干净”这是第一个要回答的问题。我们是把所有疑似危险的字符都转义掉还是只处理最关键的几个这里涉及一个白名单和黑名单的思维。黑名单禁止列表我们列出一份危险字符清单如,,”,’,,/等遇到就处理。OWASP Encoder采用的就是类似思路但它更智能根据上下文决定如何转义。在HTML上下文中被转义为lt;但字母a不会被转义。这种方式相对保守可能误伤一些合法但包含这些字符的文本比如数学公式a b会被转成a lt; b显示没问题但存储的已经不是原字符了。白名单允许列表只允许一组已知安全的字符通过其他都过滤或转义。这更安全但限制性太强几乎无法用于通用场景。我们的策略在全局输入过滤层采用基于黑名单的转义策略但使用OWASP Encoder这种经过验证的、按上下文转义的库以在安全性和可用性之间取得最佳平衡。对于确实需要接收HTML的特定接口如富文本提交我们应该将其从Filter的清洗路径中排除并在业务层使用JSoup进行针对性的、基于白名单的净化。3.2 包装器的实现陷阱实现HttpServletRequestWrapper时有几个容易踩坑的地方重写哪些方法至少需要重写getParameter(String name)、getParameterValues(String name)、getParameterMap()。如果你还需要处理请求体如application/x-www-form-urlencoded可能还需要重写getReader()和getInputStream()但这会复杂很多因为流只能读一次。一个重要的建议是对于JSON格式的请求体application/json不要在Filter层面做清洗。因为JSON有自身的语法结构盲目转义可能会破坏其格式导致反序列化失败。这类请求的安全应通过反序列化后的对象校验和输出编码来保证。性能与缓存在包装器的getParameterMap()方法中如果每次调用都遍历原始Map并清洗每一个值会产生大量临时字符串和对象。一个优化技巧是在包装器内部缓存清洗后的parameterMap第一次访问时进行全量清洗并缓存后续访问直接返回缓存结果。但要注意线程安全每个请求有自己的包装器实例所以不存在多线程问题和内存使用。对getHeader的处理通常我们不建议在Filter中清洗HTTP头。因为头部信息有特定的格式和用途盲目修改可能导致客户端或下游服务无法识别。XSS攻击载荷通过头部注入的情况相对较少且应通过正确的服务器配置如设置安全的CSP头来防御。3.3 排除路径Exclude Patterns的设计让Filter可配置排除某些路径是使其具备工程实用性的关键。例如/api/rich-text/submit富文本提交接口不过滤。/actuator/**Spring Boot Actuator端点通常内部使用不过滤。/upload文件上传接口参数可能包含二进制数据不过滤。实现方式可以是在Filter的init-param中配置一个排除路径列表或者在application.yml中定义。在Filter的doFilter方法里判断当前请求URI是否匹配排除模式如果匹配则直接放行chain.doFilter(request, response)不进行包装和清洗。注意排除路径的配置需要非常谨慎。确保你排除的接口在后续处理中一定有其他可靠的安全措施如使用JSoup净化、严格的输出编码。永远不要排除登录、注册等接收用户输入的核心接口。4. 实操过程从零编写XSS防御Filter下面我们一步步实现这个Filter。我会基于Spring Boot 3.x但核心逻辑对Servlet 3.0环境都通用。4.1 第一步引入依赖首先在pom.xml中加入OWASP Java Encoder的依赖。建议使用最新稳定版。dependency groupIdorg.owasp.encoder/groupId artifactIdencoder/artifactId version1.3.1/version !-- 请检查并使用最新版本 -- /dependency4.2 第二步创建请求包装器XssHttpServletRequestWrapper这个类是核心它负责拦截所有获取参数的请求并返回清洗后的值。import jakarta.servlet.http.HttpServletRequest; import jakarta.servlet.http.HttpServletRequestWrapper; import org.owasp.encoder.Encode; import java.util.*; /** * XSS防御请求包装器 * 重写获取参数的方法对参数值进行HTML编码 */ public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper { /** * 缓存清洗后的参数Map避免重复处理 */ private MapString, String[] sanitizedParameterMap null; public XssHttpServletRequestWrapper(HttpServletRequest request) { super(request); } /** * 对单个字符串值进行XSS清洗 * 使用OWASP Encoder进行HTML实体编码这是最保守和安全的做法。 * 注意这会转义HTML特殊字符例如 变成 lt; * param value 原始参数值 * return 编码后的安全值 */ private String sanitizeValue(String value) { if (value null || value.isEmpty()) { return value; } // 使用forHtmlContent进行编码适用于HTML正文内容 return Encode.forHtmlContent(value); // 注意Encode.forHtmlContent 会编码 , , , , , / 等字符。 // 如果担心过度编码可以考虑使用 Encode.forHtml 或更细粒度的控制 // 但 forHtmlContent 在防御XSS上是足够且推荐的。 } /** * 对字符串数组进行批量清洗 */ private String[] sanitizeValues(String[] values) { if (values null) { return null; } String[] sanitized new String[values.length]; for (int i 0; i values.length; i) { sanitized[i] sanitizeValue(values[i]); } return sanitized; } /** * 获取单个参数并清洗 */ Override public String getParameter(String name) { String value super.getParameter(name); return sanitizeValue(value); } /** * 获取参数值数组并清洗 */ Override public String[] getParameterValues(String name) { String[] values super.getParameterValues(name); return sanitizeValues(values); } /** * 获取参数Map并清洗。这里实现了懒加载缓存。 */ Override public MapString, String[] getParameterMap() { if (sanitizedParameterMap null) { // 获取原始参数Map MapString, String[] originalMap super.getParameterMap(); if (originalMap null || originalMap.isEmpty()) { sanitizedParameterMap originalMap; } else { // 创建新的Map用于存放清洗后的参数 MapString, String[] newMap new HashMap(originalMap.size()); for (Map.EntryString, String[] entry : originalMap.entrySet()) { String key entry.getKey(); String[] originalValues entry.getValue(); // 对值进行清洗key通常不需要清洗 String[] sanitizedValues sanitizeValues(originalValues); newMap.put(key, sanitizedValues); } // 使新Map不可变以符合Servlet规范可选但推荐 sanitizedParameterMap Collections.unmodifiableMap(newMap); } } return sanitizedParameterMap; } }关键点解析继承与委托类继承HttpServletRequestWrapper这是一个装饰器模式的实现。我们重写关键方法其他方法如getHeader,getMethod直接委托给父类即原始Request。清洗方法sanitizeValue这里使用了Encode.forHtmlContent(value)。这是OWASP Encoder推荐的、用于编码将要放入HTML元素内容div这里/div的字符串的方法。它会转义,,,,,/等字符。这足以防御绝大多数反射型和存储型XSS。缓存parameterMap在getParameterMap()中我们检查sanitizedParameterMap是否已初始化。如果没有则遍历原始Map清洗所有值存入一个新的HashMap并将其设置为不可修改unmodifiableMap然后缓存起来。这避免了每次调用getParameterMap()都进行全量清洗的性能开销。由于每个请求对应一个Wrapper实例不存在线程安全问题。4.3 第三步创建XSS防御过滤器XssFilter过滤器负责将原始Request替换成我们的包装器。import jakarta.servlet.*; import jakarta.servlet.http.HttpServletRequest; import org.springframework.util.AntPathMatcher; import org.springframework.util.PathMatcher; import java.io.IOException; import java.util.Arrays; import java.util.List; /** * XSS防御过滤器 */ public class XssFilter implements Filter { /** * 路径匹配器用于排除路径匹配 */ private final PathMatcher pathMatcher new AntPathMatcher(); /** * 排除路径列表这些路径的请求将不会被过滤 */ private ListString excludePatterns List.of(); Override public void init(FilterConfig filterConfig) throws ServletException { // 从Filter配置参数中读取排除路径传统web.xml方式 String excludeParam filterConfig.getInitParameter(excludePatterns); if (excludeParam ! null !excludeParam.trim().isEmpty()) { this.excludePatterns Arrays.asList(excludeParam.split(\\s*,\\s*)); } // 在Spring Boot中更推荐通过ConfigurationProperties注入见下文 Filter.super.init(filterConfig); } /** * 判断当前请求路径是否应该被排除 */ private boolean shouldExclude(HttpServletRequest request) { String requestUri request.getRequestURI(); // 获取上下文路径并确保匹配时排除上下文路径 String contextPath request.getContextPath(); String path requestUri.substring(contextPath.length()); for (String pattern : excludePatterns) { if (pathMatcher.match(pattern, path)) { return true; } } return false; } Override public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException { HttpServletRequest httpRequest (HttpServletRequest) request; // 检查是否在排除列表中 if (shouldExclude(httpRequest)) { // 直接放行不进行XSS过滤 chain.doFilter(request, response); return; } // 包装原始请求传入过滤链的是包装后的请求 XssHttpServletRequestWrapper wrappedRequest new XssHttpServletRequestWrapper(httpRequest); chain.doFilter(wrappedRequest, response); } Override public void destroy() { Filter.super.destroy(); } /** * 设置排除路径供Spring配置使用 */ public void setExcludePatterns(ListString excludePatterns) { this.excludePatterns excludePatterns ! null ? excludePatterns : List.of(); } }关键点解析排除逻辑shouldExclude使用Spring的AntPathMatcher进行路径匹配支持*匹配任意字符、?匹配单个字符、**匹配多级目录等通配符。在判断前我们去掉了请求URI中的上下文路径contextPath使配置的排除模式更简洁例如直接配/api/rich-text/**而不是/myapp/api/rich-text/**。Filter链传递关键的一行是chain.doFilter(wrappedRequest, response);。我们将包装后的wrappedRequest而不是原始的request传入过滤链。这样后续的Servlet、Controller中通过RequestParam、HttpServletRequest.getParameter()获取到的就都是经过清洗的值了。4.4 第四步在Spring Boot中配置Filter推荐方式在Spring Boot中我们不再使用web.xml而是通过Java配置类来注册Filter并可以方便地使用application.yml进行配置。首先在application.yml中添加配置# application.yml xss: filter: enabled: true # 是否启用过滤器 exclude-patterns: # 排除路径列表 - /api/rich-text/** - /actuator/health - /upload - /static/**然后创建一个配置类XssFilterConfigimport org.springframework.boot.context.properties.ConfigurationProperties; import org.springframework.boot.web.servlet.FilterRegistrationBean; import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import java.util.List; Configuration public class XssFilterConfig { Bean ConfigurationProperties(prefix xss.filter) public XssFilterProperties xssFilterProperties() { return new XssFilterProperties(); } Bean public FilterRegistrationBeanXssFilter xssFilterRegistration(XssFilterProperties properties) { FilterRegistrationBeanXssFilter registrationBean new FilterRegistrationBean(); XssFilter xssFilter new XssFilter(); // 将配置的排除路径设置到Filter中 xssFilter.setExcludePatterns(properties.getExcludePatterns()); registrationBean.setFilter(xssFilter); registrationBean.setOrder(Ordered.HIGHEST_PRECEDENCE 10); // 设置较高优先级确保尽早执行 registrationBean.addUrlPatterns(/*); // 过滤所有请求 // 如果未启用则不注册 if (!properties.isEnabled()) { registrationBean.setEnabled(false); } return registrationBean; } } /** * 用于绑定配置属性的类 */ class XssFilterProperties { private boolean enabled true; private ListString excludePatterns List.of(); // getters and setters ... public boolean isEnabled() { return enabled; } public void setEnabled(boolean enabled) { this.enabled enabled; } public ListString getExcludePatterns() { return excludePatterns; } public void setExcludePatterns(ListString excludePatterns) { this.excludePatterns excludePatterns; } }关键点解析FilterRegistrationBean这是Spring Boot中注册Servlet Filter的标准方式。我们可以通过它设置Filter实例、URL匹配模式、执行顺序order等。执行顺序Order通过setOrder(Ordered.HIGHEST_PRECEDENCE 10)将Filter的优先级设得比较高。这是为了确保XSS清洗在其它可能处理请求参数的Filter如Spring Security的过滤器链之前执行让后续组件拿到的是“干净”的数据。HIGHEST_PRECEDENCE是最高优先级加10是为了留出空间给一些更基础的Filter。配置绑定使用ConfigurationProperties将application.yml中的xss.filter属性绑定到XssFilterProperties对象然后注入到Filter的注册逻辑中。这使得配置非常灵活和清晰。5. 测试与验证你的Filter真的起作用了吗代码写完了不测试就等于没写。我们需要验证Filter是否按预期工作。5.1 单元测试针对Wrapper可以编写简单的单元测试来验证sanitizeValue方法。import org.junit.jupiter.api.Test; import static org.junit.jupiter.api.Assertions.assertEquals; public class XssHttpServletRequestWrapperTest { // 假设你有办法实例化Wrapper或测试其静态方法 private String sanitizeValue(String input) { // 这里直接调用OWASP Encoder模拟Wrapper中的逻辑 return org.owasp.encoder.Encode.forHtmlContent(input); } Test public void testSanitizeCommonXssPayloads() { assertEquals(lt;scriptgt;alert(#39;xss#39;)lt;/scriptgt;, sanitizeValue(scriptalert(xss)/script)); assertEquals(lt;img srcx onerroralert(1)gt;, sanitizeValue(img srcx onerroralert(1))); assertEquals(quot;gt;lt;svg/onloadalert(1)gt;, sanitizeValue(\svg/onloadalert(1))); assertEquals(javascriptamp;colon;alert(1), sanitizeValue(javascript:alert(1))); // 注意forHtmlContent 不会编码冒号但编码了 } Test public void testSanitizeSafeText() { assertEquals(Hello, World!, sanitizeValue(Hello, World!)); assertEquals(a lt; b amp;amp; c gt; d, sanitizeValue(a b c d)); assertEquals(, sanitizeValue()); assertEquals(null, sanitizeValue(null)); } }5.2 集成测试模拟HTTP请求使用Spring Boot Test和MockMvc来模拟一个完整的HTTP请求测试Filter是否被正确调用并生效。import org.junit.jupiter.api.Test; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.boot.test.autoconfigure.web.servlet.AutoConfigureMockMvc; import org.springframework.boot.test.context.SpringBootTest; import org.springframework.test.web.servlet.MockMvc; import static org.springframework.test.web.servlet.request.MockMvcRequestBuilders.get; import static org.springframework.test.web.servlet.result.MockMvcResultMatchers.content; import static org.springframework.test.web.servlet.result.MockMvcResultMatchers.status; SpringBootTest AutoConfigureMockMvc public class XssFilterIntegrationTest { Autowired private MockMvc mockMvc; Test public void testXssFilterBlocksScript() throws Exception { // 假设有一个 /test 的端点会回显名为 ‘input’ 的参数 mockMvc.perform(get(/test) .param(input, scriptalert(xss)/script)) .andExpect(status().isOk()) .andExpect(content().string(org.hamcrest.Matchers.containsString(lt;scriptgt;alert(#39;xss#39;)lt;/scriptgt;))); // 断言返回的内容中包含转义后的字符串而不是原始的script标签 } Test public void testExcludePatternWorks() throws Exception { // 测试被排除的路径 /api/rich-text/submit 是否未被过滤 // 这个测试需要你的应用确实有这个端点并且该端点配置在了 exclude-patterns 中 // 这里只是一个示例逻辑 mockMvc.perform(post(/api/rich-text/submit) .contentType(MediaType.APPLICATION_JSON) .content({\html\: \divtest/div\})) .andExpect(status().isOk()); // 你需要根据你的端点实际逻辑来断言例如检查数据库里存储的是否是原始HTML而不是转义后的。 } }5.3 手动浏览器测试这是最直观的测试。启动你的Spring Boot应用。创建一个简单的测试ControllerRestController RequestMapping(/test) public class TestController { GetMapping public String testXss(RequestParam(required false) String input) { // 直接返回参数用于观察Filter是否生效 return 你输入的内容是: input; } }打开浏览器访问http://localhost:8080/test?inputscriptalert(xss)/script预期结果页面应该显示你输入的内容是: lt;scriptgt;alert(#39;xss#39;)lt;/scriptgt;。绝对不应该弹出警告框如果弹出说明Filter没生效。再测试一个正常输入http://localhost:8080/test?inputHelloWorld预期结果页面显示你输入的内容是: HelloWorld。内容没有变化。6. 常见问题、排查技巧与进阶思考即使Filter成功运行在实际项目中你仍会遇到各种问题。下面是我踩过的一些坑和对应的解决方案。6.1 问题1Filter导致JSON请求解析失败现象前端发送application/json格式的POST请求后端Controller用RequestBody接收对象但对象属性为null或解析出错。根因我们的XssHttpServletRequestWrapper只重写了getParameter*系列方法这些方法主要用于处理application/x-www-form-urlencoded格式的表单数据。对于application/json格式的请求体数据是通过HttpServletRequest.getInputStream()或getReader()读取的Spring MVC的RequestBody注解会直接从原始Request的流中读取数据而不会经过我们重写的getParameter方法。因此我们的Filter没有清洗到JSON数据。这本身不是Filter的bug而是设计如此。我们不建议在Filter层处理JSON请求体。解决方案在Filter中排除JSON API路径如配置所示将接收JSON的接口路径如/api/**加入排除列表。在业务层进行校验和编码对于JSON请求反序列化后的对象应进行JSR-303验证Valid并在后续的业务逻辑或序列化输出环节对需要放入HTML上下文的字段进行输出编码。使用自定义ArgumentResolver或Jackson Deserializer高级可以创建一个自定义的组件在JSON反序列化过程中对字符串字段进行清洗。但这会污染实体对象且可能影响性能需谨慎评估。6.2 问题2富文本内容被“洗坏”了现象用户通过富文本编辑器提交了一篇带格式的文章保存后再次展示发现所有的HTML标签如p,b都变成了lt;pgt;,lt;bgt;格式全无。根因我们的Filter使用了Encode.forHtmlContent它对所有HTML特殊字符进行无差别转义。这对于富文本来说是毁灭性的。解决方案路径排除这是最直接的方法。将富文本提交的接口如/api/article/save配置到exclude-patterns中。使用JSoup进行可控净化在业务Service层对从排除接口传来的HTML内容使用JSoup进行净化。import org.jsoup.Jsoup; import org.jsoup.safety.Safelist; public class ContentService { public String sanitizeRichText(String dirtyHtml) { if (dirtyHtml null) return null; // 定义一个相对宽松的白名单允许常见的文本格式标签和属性 Safelist safelist Safelist.relaxed() .addAttributes(a, href, title, target) // 允许a标签的更多属性 .addProtocols(a, href, http, https, mailto) // 限制href协议 .addTags(div, span) // 额外允许的标签 .removeTags(script, iframe); // 明确移除危险标签虽然relaxed默认也不包含 String cleanHtml Jsoup.clean(dirtyHtml, safelist); // 还可以进一步处理如相对路径转绝对路径等 return cleanHtml; } }这样script会被移除而p style”color:red;”会被保留。净化后的HTML可以安全地存入数据库。6.3 问题3Filter似乎没生效攻击载荷还是执行了排查步骤检查Filter是否注册成功在应用启动日志中搜索XssFilter或FilterRegistrationBean看是否有相关日志。或者在doFilter方法开始处打日志看请求是否经过。检查排除配置确认攻击测试的URL是否不小心被配置到了排除路径中。检查Controller获取参数的方式我们的Wrapper只影响request.getParameter()和RequestParam。如果你的Controller是通过RequestBody获取JSON或者直接从HttpServletRequest的InputStream读取Filter是不会起作用的。检查攻击载荷的编码攻击者可能对载荷进行URL编码、HTML实体编码等。例如script可能被编码为%3Cscript%3E。我们的Encode.forHtmlContent处理的是解码后的字符串。Servlet容器通常会自动对URL参数进行一次解码所以%3Cscript%3E会变成script然后被我们转义。但如果攻击者使用了双重编码或非常规编码可能需要更复杂的处理。不过OWASP Encoder库对此有较好的鲁棒性。确认输出点是否编码Filter保证了输入到后端的数据是转义的例如数据库里存的是lt;scriptgt;。但如果前端在显示时错误地使用了innerHTML或jQuery的.html()方法并且没有对从API获取的字符串进行解码或直接插入那么lt;scriptgt;会被直接显示为文本这是安全的。但如果前端错误地进行了unescape操作或者后端在返回JSON时又对数据进行了反转义那么漏洞仍会出现。永远不要相信前端的安全处理后端必须保证输出编码。6.4 进阶思考Filter防御的局限性及互补措施认识到Filter方案的局限性才能构建更坚固的防御体系。无法防御DOM型XSSDOM型XSS的恶意代码构造发生在客户端JavaScript执行过程中数据不经过服务器或虽然经过但服务器返回的是原始数据。Filter对此无能为力。防御DOM型XSS需要避免使用eval()、setTimeout(code)、innerHTML等危险的JavaScript函数。使用textContent代替innerHTML。如果必须操作HTML使用像DOMPurify这样的客户端净化库。内容安全策略CSP是终极武器CSP是一个HTTP响应头它告诉浏览器只允许加载和执行来自特定来源的脚本、样式等资源。即使攻击者成功注入了恶意脚本如果该脚本的来源不在CSP允许列表中浏览器也不会执行它。这是缓解XSS攻击最有效的手段之一应与输入清洗/输出编码结合使用。# 在Spring Boot中可以通过配置或代码设置CSP头 # 例如使用Spring Security http .headers(headers - headers .contentSecurityPolicy(csp - csp .policyDirectives(default-src self; script-src self https://trusted.cdn.com; style-src self unsafe-inline;) ) );一个严格的CSP策略能极大地限制XSS攻击的影响范围。定期依赖库更新安全攻防是动态的。务必保持OWASP Encoder等安全库的版本为最新以应对新出现的绕过技巧。7. 总结与个人心得实现一个Spring Boot的XSS防御Filter从技术上看并不复杂核心就是那个HttpServletRequestWrapper。但让它真正在项目中发挥作用却需要很多细节上的考量清洗策略的选择、性能的优化、排除路径的配置、与JSON接口的兼容、以及对富文本的特殊处理。我个人的体会是安全是一个整体工程没有单点银弹。这个Filter是你安全防线中非常有力且基础的一环但它绝不能是唯一的一环。一定要和输出编码、CSP、安全的依赖管理、定期的安全扫描等结合起来。在具体实施时我建议采取渐进式策略先上线后优化首先实现一个基础的、对所有application/x-www-form-urlencoded表单数据进行转义的Filter并上线。这能立即挡住大部分自动化工具发起的、使用简单载荷的XSS攻击。配置排除列表根据项目实际情况仔细梳理并配置排除路径。对于新增的API要养成思考“它是否需要绕过XSS Filter”的习惯并将其纳入安全设计评审。推动输出编码在团队内推广输出编码的最佳实践特别是在前端渲染和模板引擎中。可以尝试引入一些工具或代码审查规则来帮助落实。最终启用CSP当主要功能稳定后逐步引入并收紧CSP策略。可以从report-only模式开始观察是否有正常功能被阻断再调整为强制执行模式。最后记住一句安全领域的格言“所有输入都是不可信的”。这个Filter就是你践行这条原则的第一个也是最重要的一个实践。把它做好你的应用就拥有了一个坚实的安全起点。