1. 问题现象特殊字符导致字段截断与清空最近在使用若依Plus框架开发项目时遇到了一个奇怪的XSS过滤问题。当我在表单中提交包含特殊字符的数据时出现了字段内容被异常截断或清空的情况。具体表现为A字段输入内容’【】、-·#~%……*——{}|”》《,./;\\][-~!#$%^*()_{}|:????????????????B字段输入内容’【】、-·#~%……*——{}|”》《,./;\\][-~!#$%^*()_{}|:????????????????/提交后发现A字段内容被部分截断B字段内容完全被清空这个现象在测试包含HTML特殊字符和标点符号的输入时尤为明显。作为开发者我们期望XSS过滤器应该只过滤真正的HTML标签和脚本而不应该影响正常的文本内容特别是当这些内容只是包含特殊字符而非恶意代码时。注意在实际开发中用户输入包含各种特殊字符是完全正常的场景。比如用户可能在内容中输入数学公式包含符号、外语文字包含各种标点或者代码片段。一个好的XSS过滤器应该能够区分真正的恶意代码和正常的特殊字符使用。2. 问题根源分析整体JSON过滤的缺陷经过深入排查发现问题出在XSS过滤器的实现方式上。原版的XssHttpServletRequestWrapper对PUT和POST请求的处理存在设计缺陷2.1 原实现的工作机制原过滤器的工作流程如下检查请求是否为JSON类型通过Content-Type判断如果是JSON请求读取整个请求体内容对整个JSON字符串进行HTML标签清理返回处理后的内容关键问题代码public static String cleanHtmlTag(String content) { return content.replaceAll(([^]*?)|([\\s]*?/[^]*?)|([^]*?/[\\s]*?), ); }2.2 为什么会导致字段截断问题的本质在于原实现将整个JSON字符串作为单一文本处理HTML标签清理的正则表达式可能会错误匹配JSON中的特殊字符组合特别是当JSON中包含类似HTML标签结构的字符序列时如/,,等这些字符组合被误认为是HTML标签而被删除导致数据损坏举例说明当JSON中包含key: value/这样的数据时/可能被误判为HTML标签结束类似script的字符组合即使出现在字符串值中也会被过滤2.3 更深层的设计问题这种实现方式违背了几个重要的安全处理原则上下文感知不足没有区分JSON的结构和内容对所有字符一视同仁过度过滤在不需要过滤的地方进行了过滤导致正常数据被破坏缺乏精确性应该只过滤真正的威胁而不是可能看起来像威胁的内容3. 解决方案精细化字段级过滤针对上述问题我们重构了XSS过滤器的实现改为对JSON数据进行字段级的精细化处理。下面是详细的解决方案3.1 新实现的核心思路解析原始JSON为Map结构只对String类型的值进行HTML标签清理保持JSON结构和非String类型数据不变重新序列化为JSON字符串这种方法确保只处理真正需要处理的部分字符串值保持JSON结构完整不误伤特殊字符组合3.2 关键代码实现改进后的getInputStream方法实现Override public ServletInputStream getInputStream() throws IOException { // 非JSON类型直接返回原始流 if (!isJsonRequest()) { return super.getInputStream(); } // 读取原始JSON String json StrUtil.str(IoUtil.readBytes(super.getInputStream(), false), StandardCharsets.UTF_8); if (StringUtils.isEmpty(json)) { return super.getInputStream(); } // 使用ObjectMapper解析JSON ObjectMapper mapper new ObjectMapper(); MapString, Object map; try { map mapper.readValue(json, new TypeReferenceMapString, Object() {}); } catch (Exception e) { // JSON解析失败时保守处理返回原始流 return super.getInputStream(); } // 遍历Map仅清理String类型的值 for (Map.EntryString, Object entry : map.entrySet()) { if (entry.getValue() instanceof String) { entry.setValue(HtmlUtil.cleanHtmlTag((String) entry.getValue()).trim()); } } // 重新序列化为JSON byte[] jsonBytes mapper.writeValueAsBytes(map); final ByteArrayInputStream bis new ByteArrayInputStream(jsonBytes); return new ServletInputStream() { Override public boolean isFinished() { return true; } Override public boolean isReady() { return true; } Override public void setReadListener(ReadListener readListener) {} Override public int available() throws IOException { return jsonBytes.length; } Override public int read() throws IOException { return bis.read(); } }; }3.3 方案优势分析精确过滤只针对字符串值进行过滤不破坏JSON结构安全性保持仍然有效防范XSS攻击因为所有字符串值都会被清理数据完整性特殊字符在不构成真正威胁时会被保留健壮性添加了JSON解析异常处理避免因过滤导致服务不可用性能影响小虽然增加了解析和序列化步骤但对现代应用性能影响可忽略4. 实施细节与注意事项在实际应用这个解决方案时有几个重要的实施细节需要考虑4.1 依赖管理确保项目中包含必要的依赖!-- Jackson for JSON processing -- dependency groupIdcom.fasterxml.jackson.core/groupId artifactIdjackson-databind/artifactId version2.12.3/version /dependency !-- Hutool工具包 -- dependency groupIdcn.hutool/groupId artifactIdhutool-all/artifactId version5.7.12/version /dependency4.2 异常处理策略我们采用了保守的异常处理策略如果JSON解析失败返回原始输入流这样确保服务在遇到畸形JSON时仍能工作但同时需要在更高层级做好安全防护提示在生产环境中你可能需要根据安全需求调整这种策略。对于高安全要求的应用可能需要在JSON解析失败时拒绝请求或记录安全事件。4.3 递归处理嵌套结构当前实现只处理了顶层的String字段。如果JSON包含嵌套结构如对象数组需要增强实现private void cleanMap(MapString, Object map) { for (Map.EntryString, Object entry : map.entrySet()) { if (entry.getValue() instanceof String) { entry.setValue(HtmlUtil.cleanHtmlTag((String) entry.getValue()).trim()); } else if (entry.getValue() instanceof Map) { cleanMap((MapString, Object) entry.getValue()); } else if (entry.getValue() instanceof List) { cleanList((List) entry.getValue()); } } } private void cleanList(List list) { for (int i 0; i list.size(); i) { Object item list.get(i); if (item instanceof String) { list.set(i, HtmlUtil.cleanHtmlTag((String) item).trim()); } else if (item instanceof Map) { cleanMap((MapString, Object) item); } else if (item instanceof List) { cleanList((List) item); } } }4.4 性能考虑虽然JSON解析和序列化会带来一定的性能开销但现代JSON库如Jackson非常高效对于大多数Web应用这种开销可以忽略如果确实遇到性能瓶颈可以考虑缓存ObjectMapper实例线程安全对已知安全的请求路径跳过过滤使用更高效的JSON库如Gson5. 测试验证与边缘案例为确保解决方案的可靠性我们需要设计全面的测试用例5.1 测试用例设计测试场景输入示例预期结果普通文本{name:John}保持不变包含HTML{html:scriptalert(1)/script}脚本被过滤特殊字符{chars:!#$%^*()_-[]{};:\,./?}全部保留类似HTML的文本{text:a b c d}全部保留嵌套JSON{user:{name:bJohn/b,age:30}}只过滤name值数组结构{tags:[li1/li,normal]}只过滤数组中的HTML畸形JSON无效JSON返回原始输入5.2 自动化测试实现建议使用JUnit编写自动化测试public class XssFilterTest { private XssHttpServletRequestWrapper wrapper; BeforeEach void setUp() throws Exception { MockHttpServletRequest request new MockHttpServletRequest(); request.setContentType(application/json); wrapper new XssHttpServletRequestWrapper(request); } Test void testNormalText() throws Exception { String json {\name\:\John\}; ServletInputStream result processJson(json); assertEquals(json, readStream(result)); } Test void testWithHtml() throws Exception { String json {\html\:\scriptalert(1)/script\}; ServletInputStream result processJson(json); assertEquals({\html\:\alert(1)\}, readStream(result)); } Test void testSpecialChars() throws Exception { String json {\chars\:\!#$%^*()_-[]{};:\\\,./?\}; ServletInputStream result processJson(json); assertEquals(json, readStream(result)); } private ServletInputStream processJson(String json) throws Exception { ByteArrayInputStream input new ByteArrayInputStream(json.getBytes()); wrapper.setInputStream(input); return wrapper.getInputStream(); } private String readStream(ServletInputStream stream) throws Exception { return new String(stream.readAllBytes(), StandardCharsets.UTF_8); } }5.3 性能测试建议使用JMH进行微基准测试确保过滤器的性能可接受BenchmarkMode(Mode.AverageTime) OutputTimeUnit(TimeUnit.MILLISECONDS) State(Scope.Benchmark) public class XssFilterBenchmark { private XssHttpServletRequestWrapper wrapper; private String testJson; Setup public void setup() { MockHttpServletRequest request new MockHttpServletRequest(); request.setContentType(application/json); wrapper new XssHttpServletRequestWrapper(request); testJson {\name\:\John\,\age\:30,\address\:{\street\:\123 Main St\,\city\:\New York\}}; } Benchmark public void benchmarkFilter() throws Exception { ByteArrayInputStream input new ByteArrayInputStream(testJson.getBytes()); wrapper.setInputStream(input); wrapper.getInputStream().readAllBytes(); } }6. 经验总结与最佳实践在实际实施这个解决方案的过程中我总结了一些有价值的经验6.1 安全过滤的黄金法则最小权限原则只过滤真正需要过滤的内容上下文感知根据数据所在的位置决定过滤策略防御深度不要依赖单一防护层故障安全当过滤失败时应该拒绝而非放行6.2 Web安全过滤的最佳实践输入验证在接收数据时进行格式验证输出编码在显示数据时进行适当的编码内容安全策略(CSP)使用HTTP头限制可执行内容分层防御结合WAF、框架过滤和业务逻辑验证6.3 针对若依Plus的特别建议版本兼容性检查不同版本若依Plus的XSS过滤器实现扩展性考虑如果需要支持更多内容类型如XML需要相应扩展日志记录记录被过滤的内容以便安全审计配置化考虑将过滤规则做成可配置的6.4 常见陷阱与规避方法过度过滤现象破坏了合法内容解决采用更精确的过滤策略如本文的字段级过滤过滤不足现象放过了一些恶意内容解决结合多种过滤方法使用OWASP推荐的正则表达式性能问题现象过滤器成为性能瓶颈解决优化实现考虑缓存安全结果编码混淆现象攻击者使用编码绕过过滤解决在过滤前统一字符编码7. 延伸思考与未来改进虽然当前的解决方案已经解决了字段截断的问题但Web安全是一个持续的过程还可以考虑以下改进方向7.1 支持更多内容类型当前实现只处理了JSON格式的请求体可以扩展支持XML格式Form-dataGraphQL查询7.2 动态过滤策略根据不同的API端点采用不同的过滤严格度对于富文本内容采用更宽松的策略对于普通文本采用严格策略对于特定字段如密码可以跳过过滤7.3 集成现代安全机制Content Security Policy添加CSP头提供额外防护Subresource Integrity确保加载的外部资源未被篡改Trusted Types限制危险的DOM API使用7.4 机器学习辅助对于复杂的过滤场景可以考虑使用机器学习模型识别真正的恶意输入自动调整过滤严格度异常检测和警报在实际项目中实施安全措施时最重要的是在安全性和可用性之间找到平衡。过度的安全措施可能损害用户体验而不足的安全措施则会让系统面临风险。本文介绍的精细化XSS过滤方案正是这样一种平衡的体现——它既解决了原始实现中过于粗暴的过滤问题又保持了系统的安全性。 
长河君 · 2026/9/17 8:52:24 · 阅读 1.2k 若依Plus框架XSS过滤优化：解决特殊字符截断问题
1. 问题现象特殊字符导致字段截断与清空最近在使用若依Plus框架开发项目时遇到了一个奇怪的XSS过滤问题。当我在表单中提交包含特殊字符的数据时出现了字段内容被异常截断或清空的情况。具体表现为A字段输入内容’【】、-·#~%……*——{}|”》《,./;\\][-~!#$%^*()_{}|:????????????????B字段输入内容’【】、-·#~%……*——{}|”》《,./;\\][-~!#$%^*()_{}|:????????????????/提交后发现A字段内容被部分截断B字段内容完全被清空这个现象在测试包含HTML特殊字符和标点符号的输入时尤为明显。作为开发者我们期望XSS过滤器应该只过滤真正的HTML标签和脚本而不应该影响正常的文本内容特别是当这些内容只是包含特殊字符而非恶意代码时。注意在实际开发中用户输入包含各种特殊字符是完全正常的场景。比如用户可能在内容中输入数学公式包含符号、外语文字包含各种标点或者代码片段。一个好的XSS过滤器应该能够区分真正的恶意代码和正常的特殊字符使用。2. 问题根源分析整体JSON过滤的缺陷经过深入排查发现问题出在XSS过滤器的实现方式上。原版的XssHttpServletRequestWrapper对PUT和POST请求的处理存在设计缺陷2.1 原实现的工作机制原过滤器的工作流程如下检查请求是否为JSON类型通过Content-Type判断如果是JSON请求读取整个请求体内容对整个JSON字符串进行HTML标签清理返回处理后的内容关键问题代码public static String cleanHtmlTag(String content) { return content.replaceAll(([^]*?)|([\\s]*?/[^]*?)|([^]*?/[\\s]*?), ); }2.2 为什么会导致字段截断问题的本质在于原实现将整个JSON字符串作为单一文本处理HTML标签清理的正则表达式可能会错误匹配JSON中的特殊字符组合特别是当JSON中包含类似HTML标签结构的字符序列时如/,,等这些字符组合被误认为是HTML标签而被删除导致数据损坏举例说明当JSON中包含key: value/这样的数据时/可能被误判为HTML标签结束类似script的字符组合即使出现在字符串值中也会被过滤2.3 更深层的设计问题这种实现方式违背了几个重要的安全处理原则上下文感知不足没有区分JSON的结构和内容对所有字符一视同仁过度过滤在不需要过滤的地方进行了过滤导致正常数据被破坏缺乏精确性应该只过滤真正的威胁而不是可能看起来像威胁的内容3. 解决方案精细化字段级过滤针对上述问题我们重构了XSS过滤器的实现改为对JSON数据进行字段级的精细化处理。下面是详细的解决方案3.1 新实现的核心思路解析原始JSON为Map结构只对String类型的值进行HTML标签清理保持JSON结构和非String类型数据不变重新序列化为JSON字符串这种方法确保只处理真正需要处理的部分字符串值保持JSON结构完整不误伤特殊字符组合3.2 关键代码实现改进后的getInputStream方法实现Override public ServletInputStream getInputStream() throws IOException { // 非JSON类型直接返回原始流 if (!isJsonRequest()) { return super.getInputStream(); } // 读取原始JSON String json StrUtil.str(IoUtil.readBytes(super.getInputStream(), false), StandardCharsets.UTF_8); if (StringUtils.isEmpty(json)) { return super.getInputStream(); } // 使用ObjectMapper解析JSON ObjectMapper mapper new ObjectMapper(); MapString, Object map; try { map mapper.readValue(json, new TypeReferenceMapString, Object() {}); } catch (Exception e) { // JSON解析失败时保守处理返回原始流 return super.getInputStream(); } // 遍历Map仅清理String类型的值 for (Map.EntryString, Object entry : map.entrySet()) { if (entry.getValue() instanceof String) { entry.setValue(HtmlUtil.cleanHtmlTag((String) entry.getValue()).trim()); } } // 重新序列化为JSON byte[] jsonBytes mapper.writeValueAsBytes(map); final ByteArrayInputStream bis new ByteArrayInputStream(jsonBytes); return new ServletInputStream() { Override public boolean isFinished() { return true; } Override public boolean isReady() { return true; } Override public void setReadListener(ReadListener readListener) {} Override public int available() throws IOException { return jsonBytes.length; } Override public int read() throws IOException { return bis.read(); } }; }3.3 方案优势分析精确过滤只针对字符串值进行过滤不破坏JSON结构安全性保持仍然有效防范XSS攻击因为所有字符串值都会被清理数据完整性特殊字符在不构成真正威胁时会被保留健壮性添加了JSON解析异常处理避免因过滤导致服务不可用性能影响小虽然增加了解析和序列化步骤但对现代应用性能影响可忽略4. 实施细节与注意事项在实际应用这个解决方案时有几个重要的实施细节需要考虑4.1 依赖管理确保项目中包含必要的依赖!-- Jackson for JSON processing -- dependency groupIdcom.fasterxml.jackson.core/groupId artifactIdjackson-databind/artifactId version2.12.3/version /dependency !-- Hutool工具包 -- dependency groupIdcn.hutool/groupId artifactIdhutool-all/artifactId version5.7.12/version /dependency4.2 异常处理策略我们采用了保守的异常处理策略如果JSON解析失败返回原始输入流这样确保服务在遇到畸形JSON时仍能工作但同时需要在更高层级做好安全防护提示在生产环境中你可能需要根据安全需求调整这种策略。对于高安全要求的应用可能需要在JSON解析失败时拒绝请求或记录安全事件。4.3 递归处理嵌套结构当前实现只处理了顶层的String字段。如果JSON包含嵌套结构如对象数组需要增强实现private void cleanMap(MapString, Object map) { for (Map.EntryString, Object entry : map.entrySet()) { if (entry.getValue() instanceof String) { entry.setValue(HtmlUtil.cleanHtmlTag((String) entry.getValue()).trim()); } else if (entry.getValue() instanceof Map) { cleanMap((MapString, Object) entry.getValue()); } else if (entry.getValue() instanceof List) { cleanList((List) entry.getValue()); } } } private void cleanList(List list) { for (int i 0; i list.size(); i) { Object item list.get(i); if (item instanceof String) { list.set(i, HtmlUtil.cleanHtmlTag((String) item).trim()); } else if (item instanceof Map) { cleanMap((MapString, Object) item); } else if (item instanceof List) { cleanList((List) item); } } }4.4 性能考虑虽然JSON解析和序列化会带来一定的性能开销但现代JSON库如Jackson非常高效对于大多数Web应用这种开销可以忽略如果确实遇到性能瓶颈可以考虑缓存ObjectMapper实例线程安全对已知安全的请求路径跳过过滤使用更高效的JSON库如Gson5. 测试验证与边缘案例为确保解决方案的可靠性我们需要设计全面的测试用例5.1 测试用例设计测试场景输入示例预期结果普通文本{name:John}保持不变包含HTML{html:scriptalert(1)/script}脚本被过滤特殊字符{chars:!#$%^*()_-[]{};:\,./?}全部保留类似HTML的文本{text:a b c d}全部保留嵌套JSON{user:{name:bJohn/b,age:30}}只过滤name值数组结构{tags:[li1/li,normal]}只过滤数组中的HTML畸形JSON无效JSON返回原始输入5.2 自动化测试实现建议使用JUnit编写自动化测试public class XssFilterTest { private XssHttpServletRequestWrapper wrapper; BeforeEach void setUp() throws Exception { MockHttpServletRequest request new MockHttpServletRequest(); request.setContentType(application/json); wrapper new XssHttpServletRequestWrapper(request); } Test void testNormalText() throws Exception { String json {\name\:\John\}; ServletInputStream result processJson(json); assertEquals(json, readStream(result)); } Test void testWithHtml() throws Exception { String json {\html\:\scriptalert(1)/script\}; ServletInputStream result processJson(json); assertEquals({\html\:\alert(1)\}, readStream(result)); } Test void testSpecialChars() throws Exception { String json {\chars\:\!#$%^*()_-[]{};:\\\,./?\}; ServletInputStream result processJson(json); assertEquals(json, readStream(result)); } private ServletInputStream processJson(String json) throws Exception { ByteArrayInputStream input new ByteArrayInputStream(json.getBytes()); wrapper.setInputStream(input); return wrapper.getInputStream(); } private String readStream(ServletInputStream stream) throws Exception { return new String(stream.readAllBytes(), StandardCharsets.UTF_8); } }5.3 性能测试建议使用JMH进行微基准测试确保过滤器的性能可接受BenchmarkMode(Mode.AverageTime) OutputTimeUnit(TimeUnit.MILLISECONDS) State(Scope.Benchmark) public class XssFilterBenchmark { private XssHttpServletRequestWrapper wrapper; private String testJson; Setup public void setup() { MockHttpServletRequest request new MockHttpServletRequest(); request.setContentType(application/json); wrapper new XssHttpServletRequestWrapper(request); testJson {\name\:\John\,\age\:30,\address\:{\street\:\123 Main St\,\city\:\New York\}}; } Benchmark public void benchmarkFilter() throws Exception { ByteArrayInputStream input new ByteArrayInputStream(testJson.getBytes()); wrapper.setInputStream(input); wrapper.getInputStream().readAllBytes(); } }6. 经验总结与最佳实践在实际实施这个解决方案的过程中我总结了一些有价值的经验6.1 安全过滤的黄金法则最小权限原则只过滤真正需要过滤的内容上下文感知根据数据所在的位置决定过滤策略防御深度不要依赖单一防护层故障安全当过滤失败时应该拒绝而非放行6.2 Web安全过滤的最佳实践输入验证在接收数据时进行格式验证输出编码在显示数据时进行适当的编码内容安全策略(CSP)使用HTTP头限制可执行内容分层防御结合WAF、框架过滤和业务逻辑验证6.3 针对若依Plus的特别建议版本兼容性检查不同版本若依Plus的XSS过滤器实现扩展性考虑如果需要支持更多内容类型如XML需要相应扩展日志记录记录被过滤的内容以便安全审计配置化考虑将过滤规则做成可配置的6.4 常见陷阱与规避方法过度过滤现象破坏了合法内容解决采用更精确的过滤策略如本文的字段级过滤过滤不足现象放过了一些恶意内容解决结合多种过滤方法使用OWASP推荐的正则表达式性能问题现象过滤器成为性能瓶颈解决优化实现考虑缓存安全结果编码混淆现象攻击者使用编码绕过过滤解决在过滤前统一字符编码7. 延伸思考与未来改进虽然当前的解决方案已经解决了字段截断的问题但Web安全是一个持续的过程还可以考虑以下改进方向7.1 支持更多内容类型当前实现只处理了JSON格式的请求体可以扩展支持XML格式Form-dataGraphQL查询7.2 动态过滤策略根据不同的API端点采用不同的过滤严格度对于富文本内容采用更宽松的策略对于普通文本采用严格策略对于特定字段如密码可以跳过过滤7.3 集成现代安全机制Content Security Policy添加CSP头提供额外防护Subresource Integrity确保加载的外部资源未被篡改Trusted Types限制危险的DOM API使用7.4 机器学习辅助对于复杂的过滤场景可以考虑使用机器学习模型识别真正的恶意输入自动调整过滤严格度异常检测和警报在实际项目中实施安全措施时最重要的是在安全性和可用性之间找到平衡。过度的安全措施可能损害用户体验而不足的安全措施则会让系统面临风险。本文介绍的精细化XSS过滤方案正是这样一种平衡的体现——它既解决了原始实现中过于粗暴的过滤问题又保持了系统的安全性。