如何解决Controller中Put API自定义请求体被CheckMarx检出反射XSS的问题

原因说明 #

你当前的自定义净化方法不被CheckMarx识别的核心原因是：静态扫描工具仅会识别其规则库内预设的可信XSS净化操作，你通过Gson序列化后整体清理再反序列化的逻辑属于非标准化的自定义处理流程，CheckMarx无法追踪到自定义对象内部的字符串字段都已经完成了净化，因此会持续触发告警。

可行解决方案 #

方案1：实现可被扫描识别的自定义对象遍历净化（优先推荐） #

替换当前的序列化再反序列化的净化逻辑，改用反射遍历自定义对象的所有字符串类型字段，对每个字符串直接调用CheckMarx规则库认可的净化方法（比如你已经在用的StringEscapeUtils.escapeHtml4或者Jsoup.clean），这种逐字段处理的逻辑可以被静态扫描工具追踪到。
示例工具方法代码：

import org.apache.commons.lang3.StringEscapeUtils;
import java.lang.reflect.Field;
import java.util.Map;

public class XssSanitizer {
    public static <T> T sanitizeObject(T obj) throws IllegalAccessException {
        if (obj == null) return null;
        Class<?> clazz = obj.getClass();
        // 遍历所有字段
        for (Field field : clazz.getDeclaredFields()) {
            field.setAccessible(true);
            Object value = field.get(obj);
            // 处理字符串类型字段
            if (value instanceof String) {
                String sanitized = StringEscapeUtils.escapeHtml4((String) value);
                field.set(obj, sanitized);
            }
            // 处理Map类型字段的value
            else if (value instanceof Map) {
                Map<?, ?> map = (Map<?, ?>) value;
                for (Map.Entry<?, ?> entry : map.entrySet()) {
                    Object mapVal = entry.getValue();
                    if (mapVal instanceof String) {
                        ((Map<Object, Object>) map).put(entry.getKey(), StringEscapeUtils.escapeHtml4((String) mapVal));
                    }
                    // 嵌套自定义对象的话递归处理
                    else if (mapVal != null && !mapVal.getClass().isPrimitive() && !mapVal.getClass().getPackage().getName().startsWith("java.")) {
                        sanitizeObject(mapVal);
                    }
                }
            }
            // 处理嵌套的自定义对象
            else if (value != null && !value.getClass().isPrimitive() && !value.getClass().getPackage().getName().startsWith("java.")) {
                sanitizeObject(value);
            }
        }
        return obj;
    }
}

调用方式替换原来的checkForCSS即可：

modelDocument = XssSanitizer.sanitizeObject(modelDocument);

方案2：添加扫描忽略标记 #

如果确认现有净化逻辑安全无误，可在告警对应的代码行添加CheckMarx认可的忽略注释，同时在内部审批流程中备注净化逻辑的实现说明，注释示例：

// CxSanitize: 已通过Jsoup.clean完成XSS净化，忽略此反射XSS告警
modelDocument = checkForCSS(modelDocument);

不同版本的CheckMarx支持的忽略标记可能有差异，可根据你们团队使用的版本调整对应的注释标记。

补充建议 #

XSS攻击的本质是不可信内容在前端被解析为脚本执行，最佳实践是在数据输出到前端的阶段做对应上下文的转义（比如输出到HTML用escapeHtml4，输出到JS用escapeEcmaScript），输入阶段的净化仅作为辅助防御手段，可避免存储型XSS的风险。

内容的提问来源于stack exchange，提问作者DujSn28