Spring框架如何防范跨站脚本（XSS）攻击？是否因XSS为前端问题无防护机制？

首先得纠正一个常见误解：很多人觉得XSS是纯前端问题，但实际上XSS本质是注入类攻击，后端同样需要承担防护责任——而Spring框架不仅有防护机制，还提供了多层、多维度的解决方案，默认就开启了不少基础防护。

一、Spring原生视图层的自动转义（最基础的防护） #

Spring常用的视图技术（比如Thymeleaf、JSP）默认都会对输出到HTML页面的变量进行HTML转义。举个例子，如果后端返回的内容是<script>alert('XSS')</script>，视图引擎会自动把特殊字符转义成对应的实体：

• < → <
• > → >
• & → &

这样浏览器接收到的是纯文本，不会把这段内容当成可执行的JavaScript脚本。比如Thymeleaf中使用${user.input}时，转义是默认行为；如果确实需要输出原始HTML（比如可信的富文本），才需要显式用th:utext="${safeContent}"来关闭转义。

二、Spring Security的主动过滤防护 #

如果你用了Spring Security，可以通过自定义过滤器来对输入请求进行预处理，过滤或转义参数中的危险字符，从请求入口就拦截XSS注入。

比如自定义一个XssFilter，包装HttpServletRequest来处理参数：

public class XssFilter extends OncePerRequestFilter {
    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        // 自定义请求包装类，处理参数中的XSS字符
        XssHttpServletRequestWrapper wrappedRequest = new XssHttpServletRequestWrapper(request);
        filterChain.doFilter(wrappedRequest, response);
    }
}

// 自定义请求包装类示例
class XssHttpServletRequestWrapper extends HttpServletRequestWrapper {
    public XssHttpServletRequestWrapper(HttpServletRequest request) {
        super(request);
    }

    @Override
    public String getParameter(String name) {
        String value = super.getParameter(name);
        if (value == null) {
            return null;
        }
        // 对参数值进行转义处理
        return escapeHtml(value);
    }

    private String escapeHtml(String input) {
        return input.replace("<", "&lt;")
                    .replace(">", "&gt;")
                    .replace("&", "&amp;")
                    .replace("'", "&apos;")
                    .replace("\"", "&quot;");
    }
}

然后在Spring Security配置中注册这个过滤器，让它在认证过滤器之前执行：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        // 添加XSS过滤器到过滤器链
        http.addFilterBefore(new XssFilter(), UsernamePasswordAuthenticationFilter.class);
        
        // 其他安全配置...
        return http.build();
    }
}

三、通过Content Security Policy（CSP）限制资源加载 #

Spring可以通过设置响应头来启用CSP，从浏览器层面限制页面能加载的资源类型，比如禁止内联脚本、限制脚本只能从同源加载，从根源上降低XSS的利用风险。

在Spring Boot中，可以用@ControllerAdvice全局添加CSP响应头：

@ControllerAdvice
public class CspHeaderConfig {
    @ModelAttribute
    public void addCspHeader(HttpServletResponse response) {
        // 配置严格的CSP规则，根据实际业务调整
        String cspPolicy = "default-src 'self'; " +
                           "script-src 'self'; " +
                           "style-src 'self' 'unsafe-inline'; " + // 如果需要内联样式可以加unsafe-inline
                           "img-src 'self' data:;";
        response.setHeader("Content-Security-Policy", cspPolicy);
    }
}

四、关于数据持久层的注意事项 #

虽然Spring没有强制要求，但不建议在保存数据时就进行HTML转义——因为数据可能需要在非HTML场景使用（比如API返回给移动端），提前转义会导致数据失真。更合理的做法是在输出到HTML页面时统一转义，也就是依赖视图层的自动转义机制。

总结 #

Spring框架绝对不是没有XSS防护机制：

• 基础防护：视图层默认自动转义，开箱即用；
• 主动拦截：Spring Security支持自定义过滤器处理输入；
• 浏览器层面：通过CSP响应头加固；

当然，XSS防护是多层防御体系，前端也要做输入验证和输出转义，后端的防护是重要的兜底手段，两者结合才能更全面地抵御XSS攻击。

内容的提问来源于stack exchange，提问作者akalanka95