JSP 中如何防止跨站脚本攻击 (XSS)？

推荐答案

在 JSP 中防止跨站脚本攻击 (XSS) 的主要方法包括：

1. 输入验证：对用户输入的数据进行严格的验证，确保输入的数据符合预期的格式和类型。
2. 输出编码：在将用户输入的数据输出到页面时，使用 JSTL 的 <c:out> 标签或 fn:escapeXml() 函数对数据进行编码。
3. 使用安全的 API：避免使用不安全的 API，如 innerHTML，而是使用更安全的替代方法。
4. 设置 HTTP 头：通过设置 Content-Security-Policy 和 X-XSS-Protection 等 HTTP 头来增强浏览器的安全防护。

本题详细解读

1. 输入验证

输入验证是防止 XSS 攻击的第一道防线。通过验证用户输入的数据，可以确保数据符合预期的格式和类型，从而减少恶意脚本注入的可能性。例如，可以使用正则表达式来验证电子邮件地址、电话号码等。

<%
    String userInput = request.getParameter("input");
    if (userInput.matches("^[a-zA-Z0-9]+$")) {
        // 处理合法输入
    } else {
        // 处理非法输入
    }
%>

2. 输出编码

在将用户输入的数据输出到页面时，必须对数据进行编码，以防止恶意脚本的执行。JSTL 提供了 <c:out> 标签和 fn:escapeXml() 函数来实现这一功能。

<%@ taglib uri="http://java.sun.com/jsp/jstl/core" prefix="c" %>
<%@ taglib uri="http://java.sun.com/jsp/jstl/functions" prefix="fn" %>

<c:out value="${userInput}" />
${fn:escapeXml(userInput)}

3. 使用安全的 API

避免使用不安全的 API，如 innerHTML，因为这些 API 会直接插入 HTML 代码，容易导致 XSS 攻击。相反，应该使用更安全的替代方法，如 textContent。

// 不安全的做法
document.getElementById("output").innerHTML = userInput;

// 安全的做法
document.getElementById("output").textContent = userInput;

4. 设置 HTTP 头

通过设置 HTTP 头，可以进一步增强浏览器的安全防护。Content-Security-Policy 可以限制页面加载的资源来源，而 X-XSS-Protection 可以启用浏览器的 XSS 过滤器。

<%
    response.setHeader("Content-Security-Policy", "default-src 'self'");
    response.setHeader("X-XSS-Protection", "1; mode=block");
%>

通过以上方法，可以有效地防止 JSP 应用中的跨站脚本攻击 (XSS)。