目录介绍：

• 1、Spring MVC中，遇到XSS、SQL注入攻击怎么处理？
• 2、如何对执行了特殊字符转义的网站进行XSS攻击
• 3、SpringMVC如何有效的防止XSS注入?

Spring MVC中，遇到XSS、SQL注入攻击怎么处理？

1、在数据进入数据库之前对非法字符进行转义，在更新和显示的时候将非法字符还原；

2、在显示的时候对非法字符进行转义；

如果项目还处在起步阶段，建议使用第二种，直接使用jstl的标签即可解决非法字符的问题。在解析从服务器端获取的数据时执行以下escapeHTML()即可。

来源：麦子学院

如何对执行了特殊字符转义的网站进行XSS攻击

Html中特殊字符不被转义，可以使用预格式化标签。pre 是 Preformatted text（预格式化文本） 的缩写。使用此标签可以把代码中的空格和换行直接显示到页面上。例如HTML代码：　

12345

pre　if (xx 5) {　print "比5大！\n";　}　/pre

浏览器显示效果：if (xx 5) {print "比5大！\n";}textarea/textarea之间包含有类似的这种转义字符的时候总会被解析，倒是可以把所有的""通过程序替换成""，但是有些本来就是""的也会被转换，这就错了。如何让textarea/textarea之间包含的文本原封不动的显示出来呢？总结如下:解决方法有两种：第1种：

123456

bodytextarea id='t' rows=20 cols=20/textareascriptdocument.getElementById('t').innerText='a';/script/body

SpringMVC如何有效的防止XSS注入?

在数据进入数据库之前对非法字符进行转义，在更新和显示的时候将非法字符还原

在显示的时候对非法字符进行转义

如果项目还处在起步阶段，建议使用第二种，直接使用jstl的c:out标签即可解决非法字符的问题。当然，对于Javascript还需要自己处理一下，写一个方法，在解析从服务器端获取的数据时执行以下escapeHTML()即可。

附：Javascript方法：

String.prototype.escapeHTML = function () {

return this.replace(//g, ‘’).replace(//g, ‘’).replace(//g, ‘’).replace(/”/g, ‘"’);}

如果项目已经开发完成了，又不想大批量改动页面的话，可以采用第一种方法，此时需要借助Spring MVC的@InitBinder以及org.apache.commons.lang.PropertyEditorSupport、org.apache.commons.lang.StringEscapeUtils

public class StringEscapeEditor extends PropertyEditorSupport {

private boolean escapeHTML;

private boolean escapeJavaScript;

private boolean escapeSQL;

public StringEscapeEditor() { super(); }

public StringEscapeEditor(boolean escapeHTML, boolean escapeJavaScript, boolean escapeSQL) {super();this.escapeHTML = escapeHTML;

this.escapeJavaScript = escapeJavaScript;

this.escapeSQL = escapeSQL;}@Overridepublic void setAsText(String text) {

if (text == null) {

setValue(null);} else {String value = text;

if (escapeHTML) { value = StringEscapeUtils.escapeHtml(value); }

if (escapeJavaScript) { value = StringEscapeUtils.escapeJavaScript(value); }

if (escapeSQL) { value = StringEscapeUtils.escapeSql(value); } setValue(value); }}@Overridepublic String getAsText() { Object value = getValue(); return value != null ? value.toString() : “”; }}

在上面我们做了一个EscapeEditor，下面还要将这个Editor和Spring的Controller绑定，使服务器端接收到数据之后能够自动转移特殊字符。

下面我们在@Controller中注册@InitBinder

@InitBinder

public void initBinder(WebDataBinder binder) {

这个方法可以直接放到abstract Controller类中，这样子每个Controller实例都能够拥有该方法。