xss漏洞修复踩坑总结

一、前言

最近测试发现系统某个接口有个xss漏洞，比如，保存数据入库时，会把<a>标签保存入库；然后查看列表时，会把<a>标签显示出来；

说是这个漏洞可以构建恶意链接，点击会跳转到恶意网址，让修复掉。

二、修复方法：前端修复

这个问题之前也遇到过，于是就按照之前的修复方法，让前端加一个xss.js，过滤掉不合法的标签后，再把数据传给后台。

谁知道这次不行了，测试直接抓包，用postman直接给后台发送含有<a>标签的请求，结果又存入数据库了。

如果从前端输入含有<a>标签的请求，点击保存，那样前端就会用xss.js把<a>标签过滤后发给后台，是没有问题的；

但是如果抓包，直接给后台发请求，那还是存在xss.js漏洞。（而且抓包测试过分了吧，那样好多系统岂不是都有漏洞了）

三、修复方法：后端修复(springboot项目)

为了符合要求，准备在后端Controller处增加过滤器，判断，如果请求报文中的参数含有不合法标签（<a>标签等），就过滤掉这个请求，不继续处理，返回错误信息。

结果踩了一堆坑，才好不容易弄好。

先发下修复流程：

1.先写一个全局过滤器(/*)，用来让HttpServletRequest.getInputStream()获取的流可以重复读取，可以参考下面的文章：
https://blog.51cto.com/u_3664660/3212696

2