过滤特定符号pre t="code" l="java" public static String guolv(String a) {
a = a.replaceAll("%22", "");
a = a.replaceAll("%27", "");
a = a.replaceAll("%3E", "");
a = a.replaceAll("%3e", "");
a = a.replaceAll("%3C", "");
a = a.replaceAll("%3c", "");
a = a.replaceAll("", "");
a = a.replaceAll("", "");
a = a.replaceAll("\"", "");
a = a.replaceAll("'", "");
a = a.replaceAll("\\+", "");
a = a.replaceAll("\\(", "");
a = a.replaceAll("\\)", "");
a = a.replaceAll(" and ", "");
a = a.replaceAll(" or ", "");
a = a.replaceAll(" 1=1 ", "");
return a;
}
框架本身并不具有这些功能。
防止xss，sql等的攻击大部分需要程序员自己注意。
sql注入本身就是sql语句写法的漏洞导致。
xss攻击的防御还是需要对非法字符串进行判断过滤。
个人之见，欢迎指正：
Xmx是java的一个选项，用来设置你的应用程序能够使用的最大内存数（看好，致使你的应用程序，不是整个jvm）,如果你的程序要花很大内存的话，那就需要修改缺省的设置，比如配置tomcat的时候，如果流量啊程序啊都很大的话就需要加大这个值了，不过有一点是要记住的，不要大得超过你的机器的内存，那样你的机器会受不了的，到时候就死翘翘了。
Xms是另一个设置内存的参数,用它来设置程序初始化的时候内存栈的大小，增加这个值的话你的程序的启动性能会得到提高。不过同样有前面的限制，以及受到xmx的限制。
另外，一个操作系统通常都只使用jvm，这就是你说的“运行在同一个JVM中的程序”，不同的虚拟机的实现虽然千差万别，但是他们的运行模式都是一样的，只是性能有所不同罢了。
javaweb中也有漏洞呀，比如XSS攻击，方法没有过滤，接口任何人都能访问，这也属于漏洞
没用到富文本的话可以用spring里的HtmlUtils.htmlEscape(string str)来对parameter转码。是用filter还是其他方式都可以
XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java、 VBScript、ActiveX、 Flash 或者甚至是普通的HTML。攻击成功后，攻击者可能得到包括但不限于更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容。
alert('abc') 替换成alert('abc')这样的话显示出来也是alert('abc') 但是意义却不再是脚本而是字符串了。可以通过替换把这两个符号替换掉即可。
跨站漏洞是需要其他正常用户进入到漏洞页面，执行了攻击者构造的恶意JS代码偷取cookie，假如攻击者获得高权限用户的cookie就有机会以高权限用户的身份进入系统，然后再进一步入侵。
所以治本的方法就是对攻击者提交的数据进行过滤，不给其执行的机会。
我来说两句