如何解决Java文件读写时Checkmarx检测到的存储型XSS问题

你的代码是直接以字节流原样读写文件内容，完全没有处理可能包含的恶意脚本，这就是存储型XSS的根源——当后续把这些内容在网页上展示时，浏览器会解析执行其中的HTML/JS代码。

核心解决思路 #

存储型XSS的关键是在写入存储前，对用户可控的内容进行HTML转义，把特殊字符转换成浏览器不会解析为代码的HTML实体，这样即使内容包含恶意脚本，展示时也只会以纯文本形式呈现。

具体实现方案 #

1. 处理文本/HTML类内容

如果存储的是用户提交的文本、富文本等内容，先做HTML转义再写入：

• 可以借助成熟工具类（比如Spring的HtmlUtils）：

// 假设userContent是用户输入的待存储内容
String userContent = "<script>alert('xss')</script>";
// 执行HTML转义
String safeContent = HtmlUtils.htmlEscape(userContent);
// 写入文件（推荐用try-with-resources自动关闭流）
try (FileOutputStream outputStream = new FileOutputStream(file)) {
    outputStream.write(safeContent.getBytes(StandardCharsets.UTF_8));
} catch (IOException e) {
    e.printStackTrace();
}

• 如果不想引入第三方依赖，也可以自己实现简易转义逻辑：

private static String escapeHtml(String input) {
    if (input == null) return null;
    return input.replace("&", "&")
                .replace("<", "&lt;")
                .replace(">", "&gt;")
                .replace("\"", "&quot;")
                .replace("'", "&#39;");
}

2. 处理二进制文件（图片、PDF等）

这类文件本身不会触发XSS，但要注意后续展示时的Content-Type设置：

• 确保返回给浏览器的响应头中，Content-Type设置为对应文件的MIME类型（比如image/png、application/pdf），而不是text/html，避免浏览器把二进制内容当成HTML解析。

额外防护措施 #

• 限制文件类型：写入前校验文件后缀和内容，只允许预期的文件类型（比如仅允许jpg、png图片），阻止恶意HTML文件被存储。
• 前端二次校验：后续展示内容时，尽量用文本插入方式（比如textContent）而非innerHTML，避免意外解析HTML代码。

内容的提问来源于stack exchange，提问作者Dan