Spring：如何在 RESTful 服务中为 @RequestBody 添加 XSS 保护？

Question

我正在尝试通过在 XSS 过滤器中创建一个扩展 HttpServletRequestWrapper 的 RequestWrapper 来添加自定义 XSS 保护。以下代码提供 XSS 保护： 1.请求参数 2. 有效载荷。

public class XssRequestWrapper extends HttpServletRequestWrapper {

  XssRequestWrapper(HttpServletRequest request) {
    super(request);
  }

    @Override
    public String getQueryString() {
    /*
    Custom XSS logic 
    */
    }

    @Override
    public String getParameterMap() {
    /*
    Custom XSS logic 
    */
    }

    @Override
    public String getParameterValues() {
    /*
    Custom XSS logic 
    */
    }

}

但是，当我在控制器中使用 @RequestBody 注解配置 REST Api 时，不会调用被覆盖的 getParameterValues。而是调用 getInputStream，这会导致添加以下内容：

 @Override
  public ServletInputStream getInputStream() throws IOException {
    /*
    Custom XSS logic 
    */
  }

是否有任何更好/理想的方法可以为通过@RequestBody 注解传递的数据提供 XSS 保护？

编辑： 解决方案：https://www.baeldung.com/spring-reading-httpservletrequest-multiple-times 由于我在之前的一个过滤器中使用了 ContentCachingRequestWrapper，因此我无法使用相同的过滤器，因此继续使用上述解决方案。 通过缓存请求，我能够多次读取它并对缓存的内容执行 XSS 检查。

Answer 1

我对你试图用代码实现的目标有点困惑。

首先要做的事 - 存在三种类型的跨站脚本 (XSS) 漏洞：

1. 基于 DOM - 在浏览器中运行通常是由于 JavaScript 中的缺陷。无需服务器调用即可利用该漏洞。
2. 反射型 XSS - 负载被 Web 服务器反射到 HTML 正文中。
3. 持久性 XSS - 有效负载位于 DB 中，并由 Web 服务器嵌入到 HTML 正文中。

因此，您无法使用请求包装器处理基于 DOM 的 XSS，因为不需要发出请求。

您可能会尝试解决第 2 点和第 3 点，但处理请求值是一件不常见的事情。 XSS 漏洞是上下文敏感的，如果您尝试在不知道稍后使用该值的上下文的情况下进行编码或转义 - 您可能会并且将会失败。

请查看XSS prevention cheat sheet from OWASP，了解如何防止代码中出现 XSS 漏洞。