Xss过滤器如何配置？Xss过滤器配置方法(2)-木庄网络博客

XssFilter:

import javax.servlet.*;
import javax.servlet.http.HttpServletRequest;
import java.io.IOException;
import java.util.List;
@Compent
public class XssFilter implements Filter {
FilterConfig filterConfig = null;
private List<String> urlExclusion = null;
public void init（FilterConfig filterConfig） throws ServletException {
this.filterConfig = filterConfig;
}
public void destroy（） {
this.filterConfig = null;
}
public void doFilter（ServletRequest request, ServletResponse response, FilterChain chain） throws IOException, ServletException {
HttpServletRequest httpServletRequest = （HttpServletRequest） request;
String servletPath = httpServletRequest.getServletPath（）；
if （urlExclusion != null && urlExclusion.contains（servletPath）） {
chain.doFilter（request, response）；
} else {
chain.doFilter（new XssHttpServletRequestWrapper（（HttpServletRequest） request）， response）；
}
}
public List<String> getUrlExclusion（） {
return urlExclusion;
}
public void setUrlExclusion（List<String> urlExclusion） {
this.urlExclusion = urlExclusion;
}
}

XssHttpServletRequestWrapper:

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper {
public XssHttpServletRequestWrapper（HttpServletRequest servletRequest） {
super（servletRequest）；
}
public String[] getParameterValues（String parameter） {
String[] values = super.getParameterValues（parameter）；
if （values == null） {
return null;
}
int count = values.length;
String[] encodedValues = new String[count];
for （int i = 0; i < count; i++） {
encodedValues[i] = cleanXSS（values[i]）；
}
return encodedValues;
}
public String getParameter（String parameter） {
String value = super.getParameter（parameter）；
if （value == null） {
return null;
}
return cleanXSS（value）；
}
public String getHeader（String name） {
String value = super.getHeader（name）；
if （value == null）
return null;
return cleanXSS（value）；
}
private String cleanXSS（String value） {
//You'll need to remove the spaces from the html entities below
value = value.replaceAll（"<", "& lt;"）。replaceAll（">", "& gt;"）；
value = value.replaceAll（"\\（", "& #40;"）。replaceAll（"\\）", "& #41;"）；
value = value.replaceAll（"'", "& #39;"）；
value = value.replaceAll（"eval\\（（。*）\\）", ""）；
value = value.replaceAll（"[\\\"\\\'][\\s]*javascript:（。*）[\\\"\\\']", "\"\""）；
value = value.replaceAll（"script", ""）；
return value;
}
}