JSP頁面如何防止XSS攻擊

在JSP頁面中防止XSS（跨站腳本）攻擊，可以采取以下措施：

1. 使用ESAPI庫：

   • Apache ESAPI（Enterprise Security API）是一個功能強大的安全框架，提供了防止XSS攻擊的功能。可以通過在JSP頁面中引入ESAPI庫，并使用其提供的API來清理和轉義用戶輸入的數據。

2. 使用JSTL標簽庫：

   • JSTL（JSP Standard Tag Library）提供了一些標準的標簽，可以幫助開發者更容易地處理用戶輸入的數據。例如，可以使用<c:out>標簽來輸出用戶輸入的數據，并確保數據被適當地轉義。

3. 手動轉義數據：

   • 在將用戶輸入的數據插入到HTML頁面之前，手動進行HTML轉義。可以使用Java的StringEscapeUtils類（來自Apache Commons Text庫）來進行轉義。

   import org.apache.commons.text.StringEscapeUtils;
   
   String userInput = "<script>alert('XSS');</script>";
   String safeInput = StringEscapeUtils.escapeHtml4(userInput);
   

4. 設置HTTP響應頭：

   • 通過設置HTTP響應頭，可以增強頁面的安全性。例如，可以設置Content-Security-Policy頭來限制頁面可以加載的資源。

   <%@ page contentType="text/html;charset=UTF-8" language="java" %>
   <meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self' https://trustedscripts.example.com; style-src 'self' https://trustedstyles.example.com;">
   

5. 使用過濾器：

   • 可以創建一個過濾器來處理所有進入頁面的數據，確保數據在顯示之前被適當地轉義和清理。

   import javax.servlet.*;
   import javax.servlet.annotation.WebFilter;
   import javax.servlet.http.HttpServletResponseWrapper;
   import java.io.CharArrayWriter;
   import java.io.IOException;
   import java.io.PrintWriter;
   
   @WebFilter("/*")
   public class XSSFilter implements Filter {
       @Override
       public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
           CharResponseWrapper wrappedResponse = new CharResponseWrapper((HttpServletResponse) response);
           chain.doFilter(request, wrappedResponse);
           String content = wrappedResponse.toString();
           String safeContent = ESAPI.encoder().encodeForHTML(content);
           response.getWriter().write(safeContent);
       }
   
       private static class CharResponseWrapper extends HttpServletResponseWrapper {
           private CharArrayWriter output;
   
           public CharResponseWrapper(HttpServletResponse response) {
               super(response);
               output = new CharArrayWriter();
           }
   
           @Override
           public PrintWriter getWriter() {
               return new PrintWriter(output);
           }
   
           public String toString() {
               return output.toString();
           }
       }
   }
   

通過以上措施，可以有效地防止XSS攻擊，保護JSP頁面的安全性。