Java后端安全最佳实践：防御SQL注入与XSS攻击

一、Web安全威胁概述 Web应用程序面临着多种安全威胁，其中SQL注入和跨站脚本攻击（XSS）是最常见的两种攻击方式。

二、SQL注入攻击 SQL注入攻击是通过在Web应用程序的输入字段中插入恶意SQL代码，以欺骗数据库执行这些代码。

三、防御SQL注入 使用预编译的SQL语句和参数化查询是防御SQL注入的有效手段。

import java.sql.Connection;
import java.sql.PreparedStatement;
import cn.juwatech.db.DataSourceUtil;

public class UserDao {
    public void addUser(String username, String password) throws SQLException {
        String sql = "INSERT INTO users (username, password) VALUES (?, ?)";
        try (Connection conn = DataSourceUtil.getConnection();
             PreparedStatement pstmt = conn.prepareStatement(sql)) {
            pstmt.setString(1, username);
            pstmt.setString(2, password);
            pstmt.executeUpdate();
        }
    }
}

四、使用ORM框架 使用ORM（对象关系映射）框架如Hibernate可以减少SQL注入的风险。

import cn.juwatech.domain.User;
import cn.juwatech.repository.UserRepository;

public class UserService {
    private UserRepository userRepository;

    public void saveUser(User user) {
        userRepository.save(user);
    }
}

五、XSS攻击 XSS攻击是一种将恶意脚本注入到网页中，当其他用户浏览该页面时，脚本会在用户的浏览器中执行的攻击。

六、防御XSS攻击 防御XSS的关键是对用户输入的数据进行严格的验证和过滤。

public class InputSanitizer {
    public String sanitizeInput(String input) {
        return input.replaceAll("<", "&lt;").replaceAll(">", "&gt;");
    }
}

七、使用HTTP-only Cookies 设置HTTP-only属性的Cookie可以防止客户端脚本访问Cookie，从而减少XSS攻击的风险。

import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

public class HttpOnlyCookies {
    public void setHttpOnlyCookie(HttpServletRequest request, HttpServletResponse response, String cookieName, String cookieValue) {
        Cookie cookie = new Cookie(cookieName, cookieValue);
        cookie.setHttpOnly(true);
        cookie.setPath(request.getContextPath());
        response.addCookie(cookie);
    }
}

八、内容安全策略（CSP） CSP是一种额外的安全层，用于定义哪些内容是可信的，减少XSS攻击的机会。

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.annotation.WebFilter;
import javax.servlet.http.HttpServletResponse;

@WebFilter("/*")
public class ContentSecurityPolicyFilter implements Filter {
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        HttpServletResponse resp = (HttpServletResponse) response;
        resp.setHeader("Content-Security-Policy", "default-src 'self';");
        chain.doFilter(request, response);
    }
}

九、输入验证 对所有用户输入进行验证，确保它们符合预期的格式，避免恶意数据的注入。

import cn.juwatech.validation.InputValidator;

public class UserInputValidation {
    private InputValidator inputValidator;

    public boolean validateUsername(String username) {
        return inputValidator.validate(username, InputValidator.USERNAME_PATTERN);
    }
}

十、输出编码 对所有输出到页面的数据进行编码，确保任何特殊字符都被正确转义。

public class OutputEncoder {
    public String encodeForHTML(String input) {
        return input.replace("&", "&amp;").replace("<", "&lt;").replace(">", "&gt;");
    }
}

十一、使用安全框架 使用Spring Security等安全框架可以提供输入验证、认证和授权等安全功能。

import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            .authorizeRequests()
            .anyRequest().authenticated();
    }
}

十二、定期安全审计 定期进行代码审查和安全审计，以发现和修复潜在的安全漏洞。