最近，某个项目突然收到总部下发的安全漏洞扫描报告，排查后确认问题来源是典型的 XSS 攻击，也就是跨站脚本攻击。 问题场景其实并不复杂——页面中存在一个隐藏域： ```html ``` 当前页面在提交到 Controller 时，并没有对 `action` 参数做任何过滤或转义处理，而是直接原样回传到页面中。此时，如果用户恶意将 `action` 修改为类似 `***""***` 这样的内容，那么页面刷新后就会直接执行 `alert(1)`。虽然表面看起来只是一个简单的弹窗问题，但从 Web 安全的角度来看，任何 XSS 漏洞都不能忽视，必须及时修复。 **解决思路** 问题的根本原因在于：对用户输入的数据（例如隐藏域中的值）完全没有进行安全处理，导致恶意脚本被直接输出并执行。因此，处理 XSS 漏洞的核心原则就是：对所有外部输入进行严格校验和转义，不要轻信任何来自页面或请求参数的数据。具体可以从以下两个方向处理： 1. **前端输出转义**：在页面模板中对 `action` 参数进行 HTML 转义，例如使用 Freemarker 的 `${action?html}`。这种方式适合快速修复单个页面或局部字段，但它通常只对某一个输出点生效。如果项目已经进入维护阶段，而且很多页面都存在类似的安全隐患，那么逐页、逐字段修改不仅工作量大，也不利于后续统一管理和维护。 2. **服务端统一转义**：更推荐的做法是在服务端编写一个 Filter，对 `HttpServletRequest` 进行二次封装，统一拦截并处理所有请求参数。这样可以从源头上降低 XSS 风险，也更适合中大型 Java Web 项目的安全加固。核心代码如下： ```ja va import ja vax.servlet.http.HttpServletRequest; import ja vax.servlet.http.HttpServletRequestWrapper; import org.apache.commons.lang3.StringEscapeUtils; public class XssRequestWrapper extends HttpServletRequestWrapper { public XssRequestWrapper(HttpServletRequest request) { super(request); } public String getParameter(String name) { String value = super.getParameter(name); if (value == null) { return null; } return StringEscapeUtils.escapeHtml4(value); } public String[] getParameterValues(String name) { String[] values = super.getParameterValues(name); if (values == null) { return null; } String[] newValues = new String[values.length]; for (int i = 0; i < values.length; i++) { newValues[i] = StringEscapeUtils.escapeHtml4(values[i]); } return newValues; } } ``` `XssRequestWrapper` 的核心作用，就是对 `request` 中获取到的参数统一执行转义处理，从而避免恶意脚本直接进入页面输出环节（需要依赖 `commons-lang3.jar`）。 接下来再定义对应的 Filter，核心代码其实只有一行： ```ja va @Override public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException { HttpServletRequest req = (HttpServletRequest) request; chain.doFilter(new XssRequestWrapper(req), response); } ``` 最后，在 `web.xml` 中为指定请求路径配置过滤规则，就可以较为有效地防御 XSS 攻击。对于 Java Web 开发来说，这种统一过滤请求参数的方案不仅更高效，也更利于后续项目维护。希望这个处理思路能帮助你尽快修复安全漏洞。毕竟在网站安全和 Web 应用安全防护中，输入校验与输出转义始终是第一道防线。