SonarQube报SpringBoot AuthenticationEntryPoint XSS漏洞怎么解决？

触发该Sonar告警的根因是：直接将JSON序列化结果写入HTTP响应的操作，被Sonar识别为未做安全转义的输出操作，符合RSPEC-5131规则的触发条件，被判定为存在XSS注入风险。你提到的敏感字符替换是可行的解决方案之一，其他可选方案如下：

• 优先设置正确的响应头
  写入响应前先明确指定响应的内容类型为JSON，告知浏览器按照JSON格式解析内容，不会执行其中的脚本代码，从根源消除XSS风险，大多数场景下添加该配置后即可消除Sonar告警：

  response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
  response.setContentType("application/json;charset=UTF-8");
  response.setCharacterEncoding("UTF-8");
  String responseMsg = mapper.writeValueAsString(responseObject);
  response.getWriter().write(responseMsg);
  

• 对输出内容做转义处理
  如果设置响应头后仍有告警，或者你的业务场景存在用户可控内容会放入响应对象，可以对序列化后的JSON字符串做HTML敏感字符转义，推荐使用成熟工具类的转义能力：

  String rawJson = mapper.writeValueAsString(responseObject);
  // 转义HTML敏感字符，避免XSS注入
  String safeJson = StringEscapeUtils.escapeHtml4(rawJson);
  response.getWriter().write(safeJson);
  

• 改用Spring框架标准化输出
  不直接操作HttpServletResponse的Writer，通过Spring的异常处理器直接返回自定义错误对象，由Spring内置的消息转换器完成序列化和响应输出，框架本身已经做了对应的安全校验，不会触发该规则。
• 确认无风险后忽略告警
  如果你可以确认responseObject里的所有内容都是服务端可控、不存在任何用户输入的恶意内容，也可以在对应方法上添加@SuppressWarnings("squid:S5131")注解，手动忽略该条Sonar告警，注意该方式需要提前完成安全评估，不建议随意使用。

内容的提问来源于stack exchange，提问作者space99