久热在线播放中文字幕|亚洲日韩乱码一区二区三区四区|99人妻少妇|麻豆地址永久在线|久久99综合精品国产毛片|一个人看的www片免费高清中文|麻豆资源在线|国产精品亚洲欧美大片在线观看

在Web應(yīng)用開發(fā)中，XSS（跨站腳本攻擊）是一種常見且危險的安全漏洞。攻擊者可以通過注入惡意腳本代碼，在用戶的瀏覽器中執(zhí)行，從而竊取用戶的敏感信息，如會話令牌、個人信息等。Struts2作為一個流行的Java Web應(yīng)用框架，提供了一些關(guān)鍵技術(shù)點來防止XSS攻擊，下面將詳細介紹這些技術(shù)點。

輸入驗證與過濾

輸入驗證是防止XSS攻擊的第一道防線。在Struts2中，我們可以通過自定義攔截器或者使用內(nèi)置的驗證機制來對用戶輸入進行驗證和過濾。

自定義攔截器是一種靈活的方式，可以在請求處理之前對輸入進行檢查。以下是一個簡單的自定義攔截器示例：

import com.opensymphony.xwork2.ActionInvocation;
import com.opensymphony.xwork2.interceptor.AbstractInterceptor;

public class XSSInterceptor extends AbstractInterceptor {

    @Override
    public String intercept(ActionInvocation invocation) throws Exception {
        Object action = invocation.getAction();
        if (action instanceof com.opensymphony.xwork2.ActionSupport) {
            com.opensymphony.xwork2.ActionSupport actionSupport = (com.opensymphony.xwork2.ActionSupport) action;
            // 獲取所有請求參數(shù)
            java.util.Map<String, Object> parameters = invocation.getInvocationContext().getParameters();
            for (java.util.Map.Entry<String, Object> entry : parameters.entrySet()) {
                if (entry.getValue() instanceof String[]) {
                    String[] values = (String[]) entry.getValue();
                    for (int i = 0; i < values.length; i++) {
                        values[i] = filterXSS(values[i]);
                    }
                }
            }
        }
        return invocation.invoke();
    }

    private String filterXSS(String input) {
        if (input == null) {
            return null;
        }
        // 簡單的過濾，替換常見的惡意字符
        input = input.replaceAll("<", "<").replaceAll(">", ">");
        input = input.replaceAll("\"", """).replaceAll("'", "&#x27;");
        input = input.replaceAll("\\(", "(").replaceAll("\\)", ")");
        input = input.replaceAll("eval\\((.*)\\)", "");
        input = input.replaceAll("[\\\"\\\'][\\s]*javascript:(.*)[\\\"\\\']", "\"\"");
        return input;
    }
}

在struts.xml中配置該攔截器：

<interceptors>
    <interceptor name="xssInterceptor" class="com.example.XSSInterceptor"/>
    <interceptor-stack name="xssStack">
        <interceptor-ref name="xssInterceptor"/>
        <interceptor-ref name="defaultStack"/>
    </interceptor-stack>
</interceptors>
<default-interceptor-ref name="xssStack"/>

除了自定義攔截器，Struts2還提供了內(nèi)置的驗證框架?？梢栽贏ction類中使用注解或者配置文件來定義驗證規(guī)則。例如，使用注解進行驗證：

import com.opensymphony.xwork2.validator.annotations.RequiredStringValidator;
import com.opensymphony.xwork2.validator.annotations.StringLengthFieldValidator;
import com.opensymphony.xwork2.ActionSupport;

public class MyAction extends ActionSupport {
    private String input;

    public String getInput() {
        return input;
    }

    public void setInput(String input) {
        this.input = input;
    }

    @RequiredStringValidator(message = "輸入不能為空")
    @StringLengthFieldValidator(minLength = "1", maxLength = "100", message = "輸入長度必須在1到100之間")
    public String execute() {
        return SUCCESS;
    }
}

輸出編碼

即使對輸入進行了驗證和過濾，在輸出時也需要進行編碼，以防止攻擊者通過構(gòu)造特殊的輸入繞過輸入驗證。Struts2提供了多種方式來進行輸出編碼。

在JSP頁面中，可以使用Struts2的標簽庫來自動進行編碼。例如，使用<s:property>標簽：

<s:property value="input" escapeHtml="true"/>

這里的escapeHtml屬性設(shè)置為true，表示對輸出進行HTML編碼。

如果需要在Java代碼中進行輸出編碼，可以使用Apache Commons Lang庫中的StringEscapeUtils類。例如：

import org.apache.commons.lang3.StringEscapeUtils;

public class OutputEncoder {
    public static String encodeOutput(String input) {
        return StringEscapeUtils.escapeHtml4(input);
    }
}

在Action類中使用該方法進行編碼：

import com.opensymphony.xwork2.ActionSupport;

public class MyAction extends ActionSupport {
    private String input;

    public String getInput() {
        return OutputEncoder.encodeOutput(input);
    }

    public void setInput(String input) {
        this.input = input;
    }

    public String execute() {
        return SUCCESS;
    }
}

HTTP頭信息設(shè)置

合理設(shè)置HTTP頭信息可以增強對XSS攻擊的防護。Struts2可以通過攔截器或者過濾器來設(shè)置HTTP頭信息。

例如，設(shè)置Content-Security-Policy（CSP）頭信息，它可以限制頁面可以加載的資源，從而防止惡意腳本的注入。以下是一個簡單的過濾器示例：

import javax.servlet.*;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

public class CSPFilter implements Filter {

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        if (response instanceof HttpServletResponse) {
            HttpServletResponse httpResponse = (HttpServletResponse) response;
            // 只允許從當前域名加載腳本和樣式
            httpResponse.setHeader("Content-Security-Policy", "default-src 'self'; script-src 'self'; style-src 'self'");
        }
        chain.doFilter(request, response);
    }

    @Override
    public void destroy() {
    }
}

在web.xml中配置該過濾器：

<filter>
    <filter-name>CSPFilter</filter-name>
    <filter-class>com.example.CSPFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>CSPFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

另外，還可以設(shè)置X-XSS-Protection頭信息，它可以讓瀏覽器啟用內(nèi)置的XSS防護機制。在Struts2的攔截器中設(shè)置該頭信息：

import com.opensymphony.xwork2.ActionInvocation;
import com.opensymphony.xwork2.interceptor.AbstractInterceptor;
import javax.servlet.http.HttpServletResponse;

public class XSSProtectionInterceptor extends AbstractInterceptor {

    @Override
    public String intercept(ActionInvocation invocation) throws Exception {
        HttpServletResponse response = (HttpServletResponse) invocation.getInvocationContext().getServletResponse();
        response.setHeader("X-XSS-Protection", "1; mode=block");
        return invocation.invoke();
    }
}

在struts.xml中配置該攔截器：

<interceptors>
    <interceptor name="xssProtectionInterceptor" class="com.example.XSSProtectionInterceptor"/>
    <interceptor-stack name="xssProtectionStack">
        <interceptor-ref name="xssProtectionInterceptor"/>
        <interceptor-ref name="defaultStack"/>
    </interceptor-stack>
</interceptors>
<default-interceptor-ref name="xssProtectionStack"/>

使用安全的標簽庫和組件

Struts2提供了豐富的標簽庫和組件，使用這些安全的標簽庫和組件可以減少XSS攻擊的風險。例如，使用Struts2的表單標簽來生成表單，它會自動處理輸入和輸出的編碼。

<s:form action="myAction">
    <s:textfield name="input" label="輸入"/>
    <s:submit value="提交"/>
</s:form>

這樣可以確保用戶輸入和輸出都經(jīng)過了正確的處理，減少了XSS攻擊的可能性。

綜上所述，Struts2通過輸入驗證與過濾、輸出編碼、HTTP頭信息設(shè)置以及使用安全的標簽庫和組件等關(guān)鍵技術(shù)點，可以有效地防止XSS攻擊。在開發(fā)Struts2應(yīng)用時，應(yīng)該綜合運用這些技術(shù)點，確保應(yīng)用的安全性。