理解脚本注入的攻击原理
脚本注入（Script Injection）是一种常见的Web安全漏洞，攻击者通过在输入字段中插入恶意脚本代码（如JavaScript、VBScript等），当这些代码被浏览器解析执行时，可能导致敏感信息泄露、会话劫持、甚至远程控制用户浏览器，在Java应用中，脚本注入主要表现为跨站脚本攻击（XSS），包括存储型XSS（恶意代码存入数据库，后续访问时触发）、反射型XSS（恶意代码通过URL参数传递，即时触发）和DOM型XSS（恶意代码修改前端DOM结构，无需服务器响应），Java作为企业级开发的主流语言，其应用通常涉及复杂的用户交互和数据流转，若防护不当，极易成为脚本注入的攻击目标，掌握Java环境下的脚本注入防护技术，是保障应用安全的关键环节。
Java核心防护策略：输入验证与过滤
输入验证是抵御脚本注入的第一道防线，其核心原则是“永远不要信任用户输入”，在Java应用中，所有来自用户端的数据（包括表单提交、URL参数、HTTP头、Cookie等）都需经过严格验证，确保只符合预期的格式和内容。
白名单验证优先：相较于黑名单（禁止特定标签或关键字），白名单验证更可靠，若用户名仅允许字母和数字，可通过正则表达式Pattern.matches("^[a-zA-Z0-9]{4,16}$", input)进行校验，拒绝包含<script>、onload=等恶意字符的输入，Java中的java.util.regex包提供了强大的正则支持，开发者可根据业务需求定义精确的验证规则。
参数化过滤与清理：对于允许部分特殊字符的场景（如富文本编辑器），需使用专门的HTML清理库，OWASP Java HTML Sanitizer可基于白名单过滤允许的HTML标签（如<p>、<a>）和属性（如href），同时移除危险的脚本事件处理器（如onclick、onerror），示例代码如下：
import org.owasp.html.PolicyFactory;
import org.owasp.html.Sanitizers;
PolicyFactory policy = Sanitizers.FORMATTING.and(Sanitizers.LINKS);
String cleanHtml = policy.sanitize("<img src=x onerror=alert(1)>"); // 输出：<img src="x">
输入验证需在数据进入业务逻辑前执行,避免恶意数据在系统中扩散。
输出编码：阻断脚本执行的关键
即使输入验证存在疏漏，输出编码仍可有效防止脚本注入，其原理是将特殊字符转换为HTML实体（如<转为<），使浏览器将其视为普通文本而非可执行代码，Java提供了多种编码方式，需根据输出上下文选择：
HTML编码：适用于输出到HTML页面主体或属性，JSP中可通过<c:out value="${userInput}">（JSTL标签）或StringEscapeUtils.escapeHtml4(input)（Apache Commons Lang）进行编码，将<script>转为<script>。
JavaScript编码：当用户输入需嵌入JavaScript代码时（如动态生成脚本），需使用StringEscapeUtils.escapeEcmaScript(input)，对反引号、单引号等特殊字符进行转义，防止代码注入。
String userInput = "'; alert(1); '"; String encoded = StringEscapeUtils.escapeEcmaScript(userInput); // 输出：\'\; alert\(1\)\; \'
URL编码：对于URL参数，需使用java.net.URLEncoder.encode(value, "UTF-8")，确保特殊字符（如空格、&）被正确编码，避免在URL解析时引发脚本注入。
编码操作应尽可能靠近输出点,避免多次编码导致数据损坏，在Spring MVC中，可通过@ResponseBody结合HttpMessageConverter自动对返回数据进行编码，减少手动编码的遗漏。
安全框架与工具：自动化防护的助力
手动实现输入验证和输出编码易遗漏边界场景，借助成熟的安全框架可大幅提升防护效率。
Spring Security：作为Java生态最主流的安全框架，Spring Security提供了XSS防护的扩展支持，通过XssFilter可对请求参数进行全局过滤，结合ContentSecurityPolicy（CSP）响应头，限制浏览器只能加载可信资源（如default-src 'self'），示例配置：
@Bean
public FilterRegistrationBean<XssFilter> xssFilter() {
FilterRegistrationBean<XssFilter> filter = new FilterRegistrationBean<>();
filter.setFilter(new XssFilter());
filter.addUrlPatterns("/*");
return filter;
}
Thymeleaf模板引擎：Thymeleaf默认开启HTML转义，在模板中使用th:text="${userInput}"时，会自动对特殊字符编码，防止XSS，若需输出原始HTML，可通过th:utext显式声明，但需确保数据已通过安全清理。
依赖库管理：使用Maven或Gradle管理依赖时，需定期更新安全库（如OWASP ESAPI、Apache Commons Lang），避免因已知漏洞被利用，ESAPI提供了Encoder接口，支持多种上下文的编码：
Encoder encoder = ESAPI.encoder(); String htmlEncoded = encoder.encodeForHTML(userInput); String jsEncoded = encoder.encodeForJavaScript(userInput);
代码实践中的细节注意事项
除了上述策略，开发过程中还需注意以下细节，避免防护失效：
避免直接拼接动态内容：切勿将用户输入直接拼接SQL语句、HTML或JavaScript代码，拼接SQL时应使用PreparedStatement，而非String sql = "SELECT * FROM users WHERE name = '" + userInput + "'";，这不仅能防止SQL注入，也能避免因特殊字符导致脚本注入。
设置安全的HTTP响应头：通过HttpServletResponse设置X-XSS-Protection: 1; mode=block（启用浏览器XSS过滤）、X-Content-Type-Options: nosniff（防止MIME类型嗅探）等响应头，增强浏览器端的防护能力。
处理富文本内容：对于允许用户输入HTML的场景（如博客评论），需结合“清理+编码”策略：先使用HTML Sanitizer清理恶意标签，再对输出内容进行HTML编码，确保安全性与可用性平衡。
日志与监控：记录被拦截的恶意输入（如包含<script>的请求参数），通过安全监控系统（如ELK、Splunk）分析攻击模式，及时调整防护策略。
小编总结
Java环境下的脚本注入防护是一个系统工程，需从输入验证、输出编码、安全框架、代码实践等多维度构建防御体系，开发者应始终秉持“深度防御”原则，不依赖单一防护手段，同时关注安全社区的最新威胁动态，及时更新防护措施，通过将安全实践融入开发全生命周期，才能有效抵御脚本注入攻击，保障应用与用户数据的安全。
