如何在Angular与Spring Boot RESTful API中对用户输入做sanitize或沙箱处理

1. 仅配置Spring Security的.xssProtection()是否足够？ #

完全不足够。该配置的作用仅为给响应头添加X-XSS-Protection: 1; mode=block，仅能触发浏览器内置的反射型XSS防护能力，既无法处理持久型XSS风险，也不满足安全团队要求的“用户输入sanitize/沙箱处理”规则，对模板注入攻击也无任何防御效果。

2. 是否需要全局对所有报文字符做HTML转义（即你提供的示例代码方案）？ #

不推荐直接使用该全局转义方案，存在明显的业务兼容性问题：

• 全局转义会把所有字符串中的HTML特殊字符替换为转义实体（比如<替换为<），如果后续业务中存在非HTML输出场景（比如导出CSV、传参给第三方接口、原生客户端渲染、存储代码片段/数学公式等业务需求），转义后的内容会直接导致业务数据错误。
• 你的前端使用Angular框架，默认已经开启了插值内容的自动HTML转义，只要你没有主动调用bypassSecurityTrustHtml等API跳过Angular的安全校验，就算后端返回带恶意脚本的内容，Angular也不会将其解析为可执行代码。

如果你的团队需要快速满足安全合规要求，且已确认所有用户输入的字符串最终仅会用于HTML场景输出，可临时使用该方案，但必须预留字段级别的豁免逻辑，避免误伤特殊业务字段。

3. Spring中做输入sanitize的最佳实践 #

• 遵循输出时按需转义优先，输入时按场景清理的核心原则：不同场景的安全转义规则完全不同（HTML场景转HTML特殊字符、SQL场景用预编译语句、JavaScript场景转JS特殊字符），全局输入转义无法覆盖所有场景的安全要求。
• 针对需要允许用户输入HTML内容的场景（比如富文本编辑），使用Jsoup等专业清理工具做白名单标签过滤，仅保留<b>、<i>等安全标签，过滤<script>、<iframe>等危险标签，该逻辑仅作用于对应的富文本字段，不要全局生效。
• 针对模板注入防护：如果后端使用了模板引擎（Thymeleaf/Freemarker等），禁止将用户输入直接作为模板内容、模板变量名拼接，所有用户输入的参数优先做格式校验（比如用@Pattern等校验注解限制仅允许输入字母、数字等合法字符），非法输入直接拒绝，比转义的防护效果更好。
• 确实需要全局做基础恶意内容过滤的，可以通过Servlet过滤器、Spring MVC参数解析器实现，同时新增自定义注解（比如@NoSanitize），对标注了该注解的字段跳过清理逻辑，适配特殊业务需求。

内容的提问来源于stack exchange，提问作者Pavlo Stepura