jersey的header param注释可以用来避免XSS攻击吗？

Question

以下是脆弱性测试收到的其余回复

回答

HTTP/1.1400错误请求

HTTP头字段“Accept”的值为“/”@$^*/：；。，？{}[]`~-_

我可以添加一个header参数来避免XSS攻击吗？

@Path("/WSPointBalance")
public class BalanceService {
private static final Logger log = Logger.getLogger(balanceManager.class);
@POST
@Path("/getPointBalance")
@Produces("application/json; charset=utf-8")
@HeaderParam("X-XSS-Protection: 1; mode=block")
public String getPointBalance(@QueryParam("P_ID")String P_ID) {

    if (log.isDebugEnabled())
        log.debug("In balanceManager ");
    log.info("Looging inside BalanceService class ");
.....
}

Answer 1

如果我知道你需要什么，可以通过过滤器来实现。

筛选器可用于修改任何请求或响应参数，如标头。

下面的过滤器实现了容器响应过滤器接口，它将把X-XSS-保护头添加到HTTP响应中：

@Provider
public class XssResponseFilter implements ContainerResponseFilter {

    @Override
    public void filter(ContainerRequestContext requestContext, 
                      ContainerResponseContext responseContext) throws IOException {

        responseContext.getHeaders().add("X-XSS-Protection", "1; mode=block");
    }
}

请注意，上面的过滤器是全局的，也就是说，它将对所有资源方法执行。

要仅对一些手工挑选的资源方法执行筛选器，可以使用名称绑定。

名称绑定是一个概念，它允许对JAX-RS运行时说，特定的过滤器将只针对特定的资源方法执行。当过滤器或拦截器仅限于特定的资源方法时，我们称其为名称绑定。

可以使用@NameBding注释将筛选器分配给资源方法。该注释用作其他html" target="_blank">用户实现的注释的元注释，这些注释应用于提供程序和资源方法。

名称绑定注释可以定义如下（注释的名称由您决定）：

@NameBinding
@Retention(RUNTIME)
@Target({TYPE, METHOD})
public @interface XssProtection { }

将上面定义的注释放置在过滤器类上：

@Provider
@XssProtection
public class XssResponseFilter implements ContainerResponseFilter {
    ...
}

要将筛选器分配给资源方法，请在资源方法上放置上述定义的注释：

@GET
@XssProtection
@Produces(MediaType.APPLICATION_JSON)
public Response myMethod() {
    ...
}

名称绑定也可以应用于资源类。这意味着过滤器将对该资源类的所有资源方法执行：

@Path("/foo")
@XssProtection
public class MyResource() {
    ...
}

请注意，全局过滤器总是被执行的，所以即使对于具有任何名称绑定注释的资源方法也是如此。

有关过滤器的更多详细信息，请参阅Jersey文档。