Spring非Boot遗留项目现有XSS防护配置是否足够有效？

我的Spring非Boot遗留应用存在部分端点XSS漏洞，已完成以下配置，因系统限制无法升级Spring Security、实现CSP头，且用户输入清理难度极大，想咨询这些配置是否为正确的XSS防护路径，能否有效防范XSS攻击？

已完成的配置：

1. 在web.xml中添加默认HTML转义配置：

<context-param>
<param-name>defaultHtmlEscape</param-name>
<param-value>true</param-value>
</context-param>

2. 添加CharacterEncodingFilter过滤器：

<filter>
  <filter-name>charEncodingFilter</filter-name>
  <filter-class>org.springframework.web.filter.CharacterEncodingFilter</filter-class>
  <init-param>
    <javaee:param-name>encoding</javaee:param-name>
    <javaee:param-value>UTF-8</javaee:param-value>
  </init-param>
  <init-param>
    <javaee:param-name>forceEncoding</javaee:param-name>
    <javaee:param-value>true</javaee:param-value>
  </init-param>
</filter>
<filter-mapping>
  <filter-name>charEncodingFilter</filter-name>
  <url-pattern>/*</url-pattern>
</filter-mapping>

3. 添加自定义XSSFilter过滤器，并引入xssflt.jar到WEB-INF/lib：

<filter> 
  <filter-name>XSSFilter</filter-name>
  <filter-class>com.cj.xss.XSSFilter</filter-class>
</filter>
<filter-mapping> 
  <filter-name>XSSFilter</filter-name>
  <url-pattern>/*</url-pattern>
</filter-mapping>

这些配置属于合理的基础XSS防护路径，但无法完全杜绝所有XSS攻击，各配置的作用与局限性如下：

• defaultHtmlEscape配置：
  这是Spring提供的默认HTML转义开关，仅对Spring框架的视图组件生效（比如<form:input>、<spring:bind>等标签），会自动将输出的动态内容中的特殊字符（如<、>、"）转义为HTML实体。但它的覆盖范围有限：原生JSP表达式（<%= %>）、手动拼接HTML的代码不会被自动转义，这类输出点仍存在XSS风险。

• CharacterEncodingFilter：
  这个过滤器的核心作用是统一请求/响应的编码为UTF-8，避免因编码不一致导致的字符乱码问题。它本身不是直接的XSS防护手段，但能减少部分利用编码绕过的XSS攻击场景，属于基础的安全增强配置。

• XSSFilter自定义过滤器：
  这是这套配置中最核心的XSS防护手段，防护效果完全取决于过滤器的实现逻辑：

  • 如果过滤器能对所有请求参数（包括GET参数、POST表单参数，以及JSON请求体中的内容）进行转义或过滤（比如替换<script>、onerror等危险标签/事件），可以拦截大部分反射型XSS攻击。
  • 但如果实现存在漏洞（比如未处理大小写变种的<SCRIPT>、编码后的攻击载荷，或者未覆盖JSON请求体），攻击者仍可绕过过滤器；对于存储型XSS，如果后端存储了未转义的用户输入，前端输出时又未做处理，过滤器无法拦截存储后的触发环节。

针对遗留系统的限制，可额外做以下增强来提升XSS防护能力：

• 覆盖所有输出转义：检查所有动态内容输出点，用<c:out>标签替代原生JSP表达式，或手动调用转义工具（如Apache Commons Lang的StringEscapeUtils.escapeHtml4()）处理后再输出，确保所有用户可控内容都经过HTML转义。
• 验证XSSFilter的完整性：测试常见的XSS攻击载荷（如<img src=x onerror=alert(1)>、<SCRIPT>alert(1)</SCRIPT>、编码后的%3Cscript%3Ealert(1)%3C/script%3E），确认过滤器能有效拦截；同时检查是否支持处理JSON请求体中的参数。
• 限制输入长度与格式：对用户输入字段设置合理的长度限制，对敏感字段（如用户名、评论）限制特殊字符的使用，增加攻击难度。
• 排查存储型XSS风险：梳理系统中存储用户输入的场景，检查对应输出点是否做了转义处理，若存在未处理的存储内容，需在输出环节补转义。

内容的提问来源于stack exchange，提问作者coman