JFinal 如何进行XSS过滤（JFinal 的简单介绍到利用JFinal 的handler实现)

在此之前我们来谈谈JFinal

JFinal 是基于Java 语言的极速 web开发框架，其核心设计目标是开发迅速、代码量少、学习简单、功能强大、轻量级、易扩展、Restful。在拥有Java语言所有优势的同时再拥有ruby、python等动态语言的开发效率。
JFinal 采用微内核全方位扩展架构，全方位是指其扩展方式在空间上的表现形式。JFinal由Handler、Interceptor、Controller、Render、Plugin五大部分组成。

所以今天我们就讲讲其一：Handler。

JFinal的 Handler是 AOP + 责任链 模式的一个变种，JFinal对action及interceptor处理自身也是一个Handler名叫ActionHandler，可见其功能之强大。平时开发的时候一般不需要使用，当Action与Interceptor还不够用的时候可以考虑Handler上场。另外Handler可以替代Filter，你无需在web.xml 中再声明Filter了。

废话不多说了，赶紧进入正文

JFinal 是一个近乎零配置，基于spring MVC研发的框架，操作简单。节省代码，适用于所有web项目。适合中小型项目开发。10分钟写出一个页面的增删改查。。app，服务端也可以。只需一个简单的继承JFinalConfig 的配置类来配置JFinal所需的就行了。然后把它配置到web.xml中就可以了，其他的Interceptor、Controller、Handler只在该配置类里处理就行了，无需再在web.xml中配置了

下面是将该配置类配置到web.xml的示例：

    <filter>
        <filter-name>jfinal</filter-name>
        <filter-class>com.jfinal.core.JFinalFilter</filter-class>
        <init-param>
            <param-name>configClass</param-name>
            <param-value>com.uniasia.JFinalProjectConfigurer</param-value>
        </init-param>
    </filter>

---

---

下面简要说说JFinalProjectConfigurer.java 这个类 因为该类继承JFinal 框架的抽象 JFinalConfig 类，该类有5个抽象，所以要实现这5个抽象方法

    /**
     * Config constant
     */
    public abstract void configConstant(Constants me);

    /**
     * Config route
     */
    public abstract void configRoute(Routes me);

    /**
     * Config plugin
     */
    public abstract void configPlugin(Plugins me);

    /**
     * Config interceptor applied to all actions.
     */
    public abstract void configInterceptor(Interceptors me);

    /**
     * Config handler
     */
    public abstract void configHandler(Handlers me);

今天我们主要关注的是configHandler(Handlers me) 这个方法，这里是配置我们自己写的handler。
在该方法里面配置我们的handler的方法如下：

    /**
     * 配置处理器(这里添加了对html后缀的处理)如果不需要则默认为rest风格
     */
    public void configHandler(Handlers handler) {
        //handler.add(我们自定义handler的实例)
        handler.add(new XssHandler());
    }

下面开始定义我们的handler的。
创建一个XssHandler类，继承JFinal 的 Handler 实现handler（）方法

public class XssHandler extends Handler{
    @Override
    public void handle(String target, HttpServletRequest request,
            HttpServletResponse response, boolean[] isHandled) {
        // 对于非静态文件，和非指定排除的url实现过滤
        //我这里过滤的是资源文件和网站后台
        if (target.indexOf(".") == -1&&!target.contains("manager")){
            request = new HttpServletRequestWrapper(request);
        }
        nextHandler.handle(target, request, response, isHandled);
    }
}

下面就是重写HttpServletRequestWrapper继承javax.servlet.http.HttpServletRequestWrapper

package com.uniasia.common.handler;
import java.util.HashMap;
import java.util.Iterator;
import java.util.Map;
import java.util.Set;

import javax.servlet.http.HttpServletRequest;

import org.apache.commons.lang.ArrayUtils;
import org.apache.commons.lang.StringUtils;
/**
 * @desc 处理Xss漏洞
 * @author oneask
 * @time  2016年12月16日
 */
public class HttpServletRequestWrapper extends javax.servlet.http.HttpServletRequestWrapper{

    private HttpServletRequest request;

    public HttpServletRequestWrapper(HttpServletRequest request) {
        super(request);
        this.request = request;
    }
    /**
     * 重写getParameter方法
     */
    @Override
    public String getParameter(String name) {
        String value = this.request.getParameter(name);
        if (value == null)
            return null;
        value = format(value);
        return value;
    }
    /**
     * 重写getParameterMap
     */
    @SuppressWarnings("unchecked")
    @Override
    public Map<String, String[]> getParameterMap() {
        HashMap<String, String[]> paramMap = (HashMap<String, String[]>) super.getParameterMap();
        paramMap = (HashMap<String, String[]>) paramMap.clone();

        for (Iterator iterator = paramMap.entrySet().iterator(); iterator.hasNext(); ) {
            Map.Entry<String, String[]> entry = (Map.Entry<String, String[]>) iterator.next();
            String [] values = entry.getValue();
            for (int i = 0; i < values.length; i++) {
                if(values[i] instanceof String){
                    values[i] = format(values[i]);
                }
            }
            entry.setValue(values);
        }
        return paramMap;
    }
    public String filter(String message) {
        if (message == null)
            return (null);
        message = format(message);
        return message;
    }
    /**
     *  @desc 统一处理特殊字符的方法，这里用的是apache的StringUtils.replaceEach  方法
     *  @org.apache.commons.lang.StringUtils.replaceEach 
     *  @author  oneask
     *  @time 2016年12月16日
     *  @param name 要替换的字符
     */
    private String format(String name) {
        //注意该方法，替换的字符前后数组长度要一一对应，我这里将特殊的字符要替换为空
        return StringUtils.replaceEach(name,//
                new String[]  {"%22","%27","%28","%29","%2B","%2b","%2F", "%2f","%2f","%25","%3E","%3E","%3E","%3D","%3d","%3C","%3c","%3b","%3B","%3B","%3E",
"%3E",":","\\","'","<",">","\"","/","%20","=",".","@"},             //
                new String[]{"","","","","","","","","","","","","","","","","","","","","","","","","","","","","","","","",""});
    }
}

希望以上的内容能帮助到大家，这是我经过了两三次的踩坑得出来的。