spring mvc 默认防御xss吗

说一下SpringMVC如何防御CSRF(Cross-site request forgery跨站请求伪造)和XSS(Cross site script跨站脚本攻击)。 说说CSRF 对CSRF来说,其实Spring3.1

Struct2+Spring 架构JavaWeb项目，出现xss跨站脚本攻击漏洞解决方案？？

没用到富文本的话可以用spring里的HtmlUtils.htmlEscape(string str)来对parameter转码。是用filter还是其他方式都可以

Spring MVC中，遇到XSS、SQL注入攻击怎么处理？

1、在数据进入数据库之前对非法字符进行转义，在更新和显示的时候将非法字符还原；

2、在显示的时候对非法字符进行转义；

如果项目还处在起步阶段，建议使用第二种，直接使用jstl的标签即可解决非法字符的问题。在解析从服务器端获取的数据时执行以下escapeHTML()即可。

来源：麦子学院

SpringMVC如何有效的防止XSS注入?

在数据进入数据库之前对非法字符进行转义，在更新和显示的时候将非法字符还原

在显示的时候对非法字符进行转义

如果项目还处在起步阶段，建议使用第二种，直接使用jstl的c:out标签即可解决非法字符的问题。当然，对于Javascript还需要自己处理一下，写一个方法，在解析从服务器端获取的数据时执行以下escapeHTML()即可。

附：Javascript方法：

String.prototype.escapeHTML = function () {

return this.replace(//g, ‘’).replace(//g, ‘’).replace(//g, ‘’).replace(/”/g, ‘"’);}

如果项目已经开发完成了，又不想大批量改动页面的话，可以采用第一种方法，此时需要借助Spring MVC的@InitBinder以及org.apache.commons.lang.PropertyEditorSupport、org.apache.commons.lang.StringEscapeUtils

public class StringEscapeEditor extends PropertyEditorSupport {

private boolean escapeHTML;

private boolean escapeJavaScript;

private boolean escapeSQL;

public StringEscapeEditor() { super(); }

public StringEscapeEditor(boolean escapeHTML, boolean escapeJavaScript, boolean escapeSQL) {super();this.escapeHTML = escapeHTML;

this.escapeJavaScript = escapeJavaScript;

this.escapeSQL = escapeSQL;}@Overridepublic void setAsText(String text) {

if (text == null) {

setValue(null);} else {String value = text;

if (escapeHTML) { value = StringEscapeUtils.escapeHtml(value); }

if (escapeJavaScript) { value = StringEscapeUtils.escapeJavaScript(value); }

if (escapeSQL) { value = StringEscapeUtils.escapeSql(value); } setValue(value); }}@Overridepublic String getAsText() { Object value = getValue(); return value != null ? value.toString() : “”; }}

在上面我们做了一个EscapeEditor，下面还要将这个Editor和Spring的Controller绑定，使服务器端接收到数据之后能够自动转移特殊字符。

下面我们在@Controller中注册@InitBinder

@InitBinder

public void initBinder(WebDataBinder binder) {

这个方法可以直接放到abstract Controller类中，这样子每个Controller实例都能够拥有该方法。

Spring MVC 如何防止XSS、SQL注入攻击

在数据进入数据库之前对非法字符进行转义，在更新和显示的时候将非法字符还原 在显示的时候对非法字符进行转义 如果项目还处在起步阶段，建议使用第二种，直接使用jstl的c:out标签即可解决非法字符的问题。当然，对于Javascript还需要自己处理一下，写一个方法，在解析从服务器端获取的数据时执行以下escapeHTML()即可。 附：Javascript方法： String.prototype.escapeHTML = function () { return this.replace(//g, ‘’).replace(//g, ‘’).replace(//g, ‘’).replace(/”/g, ‘"’);} 如果项目已经开发完成了，又不想大批量改动页面的话，可以采用第一种方法，此时需要借助Spring MVC的@InitBinder以及org.apache.commons.lang.PropertyEditorSupport、org.apache.commons.lang.StringEscapeUtils public class StringEscapeEditor extends PropertyEditorSupport { private boolean escapeHTML; private boolean escapeJavaScript; private boolean escapeSQL; public StringEscapeEditor() { super(); } public StringEscapeEditor(boolean escapeHTML, boolean escapeJavaScript, boolean escapeSQL) {super();this.escapeHTML = escapeHTML; this.escapeJavaScript = escapeJavaScript; this.escapeSQL = escapeSQL;}@Overridepublic void setAsText(String text) { if (text == null) { setValue(null);} else {String value = text; if (escapeHTML) { value = StringEscapeUtils.escapeHtml(value); } if (escapeJavaScript) { value = StringEscapeUtils.escapeJavaScript(value); } if (escapeSQL) { value = StringEscapeUtils.escapeSql(value); } setValue(value); }}@Overridepublic String getAsText() { Object value = getValue(); return value != null ? value.toString() : “”; }} 在上面我们做了一个EscapeEditor，下面还要将这个Editor和Spring的Controller绑定，使服务器端接收到数据之后能够自动转移特殊字符。 下面我们在@Controller中注册@InitBinder @InitBinder public void initBinder(WebDataBinder binder) { 这个方法可以直接放到abstract Controller类中，这样子每个Controller实例都能够拥有该方法。至此第二种方法完成，但是在还原的方法暂时还没有。

servlet filter和springMVC拦截器的区别

在struts2中用过filter过滤器，在springmvc中还有拦截器，它们都能过滤请求，但是到底有什么区别呢？

一、定义

拦截器 ：是在面向切面编程的就是在你的service或者一个方法，前调用一个方法，或者在方法后调用一个方法比如动态代理就是拦截器的简单实现，在你调用方法前打印出字符串（或者做其它业务逻辑的操作），也可以在你调用方法后打印出字符串，甚至在你抛出异常的时候做业务逻辑的操作。

过滤器：是在javaweb中，你传入的request、response提前过滤掉一些信息，或者提前设置一些参数，然后再传入servlet或者struts的action进行业务逻辑，比如过滤掉非法url（不是login.do的地址请求，如果用户没有登陆都过滤掉），或者在传入servlet或者 struts的action前统一设置字符集，或者去除掉一些非法字符.。

二、xml文件配置

1.filter

该过滤器的方法是创建一个类XXXFilter实现此接口，并在该类中的doFilter方法中声明过滤规则，然后在配置文件web.xml中声明他所过滤的路径

filter

filter-nameXXXFilter/filter-name

filter-class

com.web.util.XXXFilter

/filter-class

/filter

filter-mapping

filter-nameXXXFilter/filter-name

url-pattern*.action/url-pattern

/filter-mapping

filter

filter-nameXXXFilter/filter-name

filter-class

com.web.util.XXXFilter

/filter-class

/filter

filter-mapping

filter-nameXXXFilter/filter-name

url-pattern*.action/url-pattern

/filter-mapping

2.Interceptor

它也要实现HandlerInterceptor 接口，这里只介绍方法注解配置

!-- 拦截器 --

mvc:interceptors

!-- 多个拦截器,顺序执行 --

mvc:interceptor

mvc:mapping path="/entryOrJsonController/*" /!-- 如果不配置或/*,将拦截所有的Controller --

bean class="5535-3b23-95db-d93c com.wy.interceptor.CommonInterceptor"/bean

/mvc:interceptor

/mvc:interceptors

!-- 拦截器 --

mvc:interceptors

!-- 多个拦截器,顺序执行 --

mvc:interceptor

mvc:mapping path="/entryOrJsonController/*" /!-- 如果不配置或/*,将拦截所有的Controller --

bean class="3b23-95db-d93c-d54f com.wy.interceptor.CommonInterceptor"/bean

/mvc:interceptor

/mvc:interceptors

三、具体区别

filter

Interceptor

多个的执行顺序

根据filter mapping配置的先后顺序

按照配置的顺序，但是可以通过order控制顺序

规范

在Servlet规范中定义的，是Servlet容器支持的

Spring容器内的，是Spring框架支持的。

使用范围

只能用于Web程序中

既可以用于Web程序，也可以用于Application、Swing程序中。

深度

Filter在只在Servlet前后起作用

拦截器能够深入到方法前后、异常抛出前后等

四、总结

两者的本质区别：拦截器是基于java的反射机制的，而过滤器是基于函数回调。从灵活性上说拦截器功能更强大些，Filter能做的事情，他都能做，而且可以在请求前，请求后执行，比较灵活。Filter主要是针对URL地址做一个编码的事情、过滤掉没用的参数、安全校验（比较泛的，比如登录不登录之类），太细的话，还是建议用interceptor。不过还是根据不同情况选择合适的。

大哥，在springMVC下防御xss漏洞。和sql注入的问题知道如何解决吗？

不知道你是想防哪种xss，存储型？反射型？Dom型？

sql注入预防在编程时机可以做到，不要使用字符串拼接的sql语句，就可以做到