本文目录一览：
- 1、请求参数是json springmvc 怎么注解
- 2、XSS攻击的定义，类型以及防御方法？
- 3、请问：用JS创建json数据，并且可以动态往json数据里面添加新值，也可以修改值。
- 4、几种极其隐蔽的XSS注入的防护
- 5、xss漏洞类型有哪些？
请求参数是json springmvc 怎么注解
解决方案：
类似于之前写的《扩展SpringMVC以支持更精准的数据绑定》，扩展spring的HandlerMethodArgumentResolver以支持自定义的数据绑定方式。
1、请下载附件的代码，放到工程中；
2、在RequestMappingHandlerAdapter添加自定义HandlerMethodArgumentResolver Bean；
Java代码
span style="font-size: x-small;" bean class="org.springframework.web.servlet.mvc.method.annotation.RequestMappingHandlerAdapter"
!--线程安全的访问session--
property name="synchronizeOnSession" value="true"/
property name="customArgumentResolvers"
list
bean class="cn.javass.spring.mvc.method.annotation.RequestJsonParamMethodArgumentResolver"/
bean class="cn.javass.spring.mvc.method.annotation.FormModelMethodArgumentResolver"/
/list
/property
/bean /span
//customArgumentResolvers用于注入自定义的参数解析器，此处我们注入了RequestJsonParamMethodArgumentResolver。
3、使用方式
Java代码
span style="font-size: x-small;"@RequestMapping("/list")
public String list(@RequestJsonParam("list") ListInteger list) /span
4、测试控制器
Java代码
span style="font-size: x-small;"package cn.javass.chapter6.web.controller.jsonparam;
import java.util.Arrays;
import java.util.List;
import java.util.Set;
import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.RequestMapping;
import cn.javass.chapter6.model.DataBinderTestModel;
import cn.javass.chapter6.model.UserModel;
import cn.javass.spring.mvc.bind.annotation.RequestJsonParam;
import cn.javass.spring.mvc.util.MapWapper;
@Controller
@RequestMapping("/jsonparam")
public class JsonParamController {
//ok [1,2,34]
//fail [1,2,a]
@RequestMapping("/list")
public String list(@RequestJsonParam("list") ListInteger list) {
System.out.println(list);
return "redirect:/success";
}
//ok [1,2,34]
//fail [1,2,a]
@RequestMapping("/set")
public String set(@RequestJsonParam("set") SetInteger set) {
System.out.println(set);
return "redirect:/success";
}
//ok [1,2,3]
//fail [1,2,a]
@RequestMapping("/array")
public String list(@RequestJsonParam("array") int[] array) {
System.out.println(Arrays.toString(array));
return "redirect:/success";
}
//ok {"a":1, "b":2}
//fail {"a":1, "b":a}
@RequestMapping("/map")
public String map(@RequestJsonParam(value = "map", required=false) MapWapperString, Integer map) {
System.out.println(map);
return "redirect:/success";
}
//UserModel[]
//ok [{"username":"123"},{"username":"234"}]
@RequestMapping("/array2")
public String array2(@RequestJsonParam(value = "array") UserModel[] array) {
System.out.println(Arrays.toString(array));
return "redirect:/success";
}
//ListUserModel
//ok [{"username":"123"},{"username":"234"}]
@RequestMapping("/list2")
public String list2(@RequestJsonParam(value = "list") ListUserModel list) {
System.out.println(list);
return "redirect:/success";
}
//SetUserModel
//ok [{"username":"123"},{"username":"234"}]
@RequestMapping("/set2")
public String set2(@RequestJsonParam(value = "set") SetUserModel set) {
System.out.println(set);
return "redirect:/success";
}
//MapString, UserModel
//ok {"a":{"username":"123"},"b":{"username":"234"}}
//暂不支持 MapUserModel, UserModel
@RequestMapping("/map2")
public String map2(@RequestJsonParam(value = "map") MapWapperString, UserModel map) {
System.out.println(map);
return "redirect:/success";
}
//ok {"username":123,"password":234,"realname":"zhang","workInfo":{"city":"abc","job":"abc","year":"abc"}, "schoolInfo":{"schoolType":"1","schoolName":"1","specialty":"1"}}
//没有realname1
//fail {"username":123,"password":234,"realname1":123}
@RequestMapping("/model1")
public String model1(@RequestJsonParam(value = "model", required=true) UserModel user) {
System.out.println(user);
return "redirect:/success";
}
//ENUM
//ok {"state":"normal"}
//List基本类型
//ok {"hobbyList":["film", "music"]}
//Map基本类型，基本类型
//ok {"map":{"key":"value", "a":"b"}}
@RequestMapping("/model2")
public String model2(@RequestJsonParam(value = "model", required=true) DataBinderTestModel model) {
System.out.println(model);
return "redirect:/success";
}
//ListUserModel
//ok {"userList":[{"username":"1"},{"username":"2"}]}
//MapString，UserModel
//ok {"userMap":{"1":{"username":"1"},"2":{"username":"2"}}}
//暂不支持 类似于 MapUserModel, UserModel 形式
@RequestMapping("/model3")
public String model3(@RequestJsonParam(value = "model") DataBinderTestModel model) {
System.out.println(model);
return "redirect:/success";
}
}
/span
支持的spring版本：
springmvc 3.0 和 3.1.x。
支持绑定的数据：
模型、集合、数组、MapWapper（Map的一个包装器，通过getInnerMap获取真实Map）
XSS攻击的定义，类型以及防御方法？
XXS攻击全称跨站脚本攻击，是一种在Web应用中的计算机安全漏洞，它允许恶意Web用户将代码植入到提供给其他使用的页面中。
XSS攻击有哪几种类型?下面就由锐速云的小编为大家介绍一下
经常见到XSS攻击有三种：反射XSS攻击、DOM-based型XSS攻击以及储存型XSS攻击。
[if !supportLists]1、[endif]反射型XSS攻击
反射性XSS一般是攻击者通过特定手法(如电子邮件)，诱使用户去访问一个包含恶意代码的URL，当受害者点击这些专门设计链接的时候，恶意代码会直接在受害主机上的浏览器上执行，反射型XSS通常出现在网站搜索栏，用户登入口等地方，常用来窃取客户端或进行钓鱼欺骗。
[if !supportLists]2、[endif]存储型XSS攻击
存储型XSS攻击也叫持久型XSS，主要将XSS代码提交储存在服务器端(数据库，内存，文件系统等)下次请求目标页面时不用在提交XSS代码。当目标用户访问该页面获取数据时，XSS代码会从服务器解析之后加载出来，返回到浏览器做正常的HTML和JS解析执行，XSS攻击就发生了。储存型XSS一般出现在网站留言，评论，博客日志等交互处，恶意脚本储存到客户端或者服务端的数据库中。
[if !supportLists]3、[endif]DOM-based型XSS攻击
DOM-based型XSS攻击它是基于DOM的XSS攻击是指通过恶意脚本修改页面的DOM结构，是纯粹发生在客户端的攻击。DOM型XSS攻击中，取出和执行恶意代码由浏览器端完成，属于前端JavaScript自身的安全漏洞。
如何防御XSS攻击?
[if !supportLists]1、[endif]对输入内容的特定字符进行编码，列如表示html标记等符号。
[if !supportLists]2、[endif]对重要的cookie设置httpOnly，防止客户端通过document。cookie读取cookie，此HTTP开头由服务端设置。
[if !supportLists]3、[endif]将不可信的输出URT参数之前，进行URLEncode操作，而对于从URL参数中获取值一定要进行格式检查
[if !supportLists]4、[endif]不要使用Eval来解析并运行不确定的数据或代码，对于JSON解析请使用JSON。Parse()方法
[if !supportLists]5、[endif]后端接口也应该要做到关键字符过滤的问题。
请问：用JS创建json数据，并且可以动态往json数据里面添加新值，也可以修改值。
函数不需要 return，因为 json 对象会被函数直接修改。
var str1 = {"name": "apple", "sex": "21"};
// 参数：prop = 属性，val = 值
function createJson(prop, val) {
// 如果 val 被忽略
if(typeof val === "undefined") {
// 删除属性
delete str1[prop];
}
else {
// 添加 或 修改
str1[prop] = val;
}
}
下面为测试
// 无改动，输出 Object {name="apple", sex="21"}
console.log(str1);
// 添加属性 color，值为 red
createJson("color", "red");
// 输出 Object {name="apple", sex="21", color="red"}
console.log(str1);
// 修改属性 name 的值为 banana
createJson("name", "banana");
// 输出 Object {name="banana", sex="21", color="red"}
console.log(str1);
// 删除属性 sex
createJson("sex");
// 输出 Object {name="banana", color="red"}
console.log(str1);
函数应该有三个参数的，第一个为 json 对象，但应你要求，只写了两个，所以函数只能用于修改 str1。
几种极其隐蔽的XSS注入的防护
XSS注入的本质
就是: 某网页中根据用户的输入, 不期待地生成了可执行的js代码, 并且js得到了浏览器的执行. 意思是说, 发给浏览器的字符串中, 包含了一段非法的js代码, 而这段代码跟用户的输入有关.
常见的XSS注入防护, 可以通过简单的 htmlspecialchars(转义HTML特殊字符), strip_tags(清除HTML标签) 来解决, 但是, 还有一些隐蔽的XSS注入不能通过这两个方法来解决, 而且, 有时业务需要不允许清除HTML标签和特殊字符. 下面列举几种隐蔽的XSS注入方法:
IE6/7 UTF7 XSS 漏洞攻击
隐蔽指数: 5
伤害指数: 5
这个漏洞非常隐蔽, 因为它让出现漏洞的网页看起来只有英文字母(ASCII字符), 并没有非法字符, htmlspecialchars 和 strip_tags 函数对这种攻击没有作用. 不过, 这个攻击只对 IE6/IE7 起作用, 从 IE8 起微软已经修复了. 你可以把下面这段代码保存到一个文本文件中(前面不要有空格和换行), 然后用 IE6 打开试试(没有恶意代码, 只是一个演示):
+/v8 +ADw-script+AD4-alert(document.location)+ADw-/script+AD4-
最容易中招的就是 JSONP 的应用了, 解决方法是把非字母和数字下划线的字符全部过滤掉. 还有一种方法是在网页开始输出空格或者换行, 这样, UTF7-XSS 就不能起作用了.
因为只对非常老版本的 IE6/IE7 造成伤害, 对 Firefox/Chrome 没有伤害, 所以伤害指数只能给 4 颗星.
参考资料:UTF7-XSS不正确地拼接 JavaScript/JSON 代码段
隐蔽指数: 5
伤害指数: 5
Web 前端程序员经常在 PHP 代码或者某些模板语言中, 动态地生成一些 JavaScript 代码片段, 例如最常见的:
var a = '?php echo htmlspecialchars($name); ?';
不想, $name 是通过用户输入的, 当用户输入a’; alert(1); 时, 就形成了非法的JavaScript 代码, 也就是XSS 注入了.
只需要把上面的代码改成:
var a = ?php echo json_encode($name); ?;
去掉单引号, 利用 PHP 的 json_encode() 函数来生成表示字符串的字符串. 这样做是因为,
最好用 json_encode() 函数来生成所有的 JSON 串, 而不要试图自己去拼接
. 程序员总是犯这样的错误: 自己去解析 HTTP 报文, 而不是用现成的成熟的库来解析. 用 json_encode() 的好处还在于, 即使业务要求我要保留单引号时, XSS注入也可以避免.
隐蔽指数最高级, 伤害所有的通用浏览器
. 这种 XSS 注入方式具有非常重要的参考意义.
最后, 根据工作中的经验, 以及我自己和别人犯过的错, 我总结出一个定理: 没有一劳永逸的单一方法可以解决所有 XSS 注入问题.
有用的经验:输出 HTML 代码时 htmlspecialchars输出JavaScript 代码时 json_encode
输入过滤应该用于解决业务限制, 而不是用于解决 XSS 注入(与严进宽出的原则相悖, 所以本条值得讨论)讨论:上文提到的经验第3条, 是一种宽进严出的原则, 和严进宽出原则是相悖的. 其实, 我认为不应该把严进宽出作为一条伪真理, 好像除了它其它的说法都不对了似的. 宽进严出和严进宽出应该具有完全相等的地位, 根据实现的成本进行取舍.
例如, 用户的名字可以采用严进宽出原则, 不允许用户填写单引号, 大于号小于号等. 但是用户的签名呢? 难道就不能填单引号? 如果要走极端, 想找出一种银弹, 那么我能想到的就是对所有的输入一律进行htmlspecialchars 和 json_encode(且不说解决不了 utf7-xss).
xss漏洞类型有哪些？
基于 DOM 的 XSS 攻击是指通过恶意脚本修改页面的 DOM 结构，是纯粹发生在客户端的攻击。DOM 型 XSS 攻击中，取出和执行恶意代码由浏览器端完成，属于前端 JavaScript 自身的安全漏洞。
如何防御XSS攻击？
1. 对输入内容的特定字符进行编码，例如表示 html标记的 等符号。
2. 对重要的 cookie设置 httpOnly, 防止客户端通过document.cookie读取 cookie，此 HTTP头由服务端设置。
3. 将不可信的值输出 URL参数之前，进行 URLEncode操作，而对于从 URL参数中获取值一定要进行格式检测（比如你需要的时URL，就判读是否满足URL格式）。
4. 不要使用 Eval来解析并运行不确定的数据或代码，对于 JSON解析请使用 JSON.parse() 方法。
5. 后端接口也应该要做到关键字符过滤的问题。
以上，是天下数据给大家分享的关于XSS攻击的全部内容，大家记得收藏方便以后查看哦。
如今，各种类型网络攻击日益频繁，除了XSS攻击之外，比较常见的网络攻击类型还包括DDoS攻击、CC攻击等，它们非常难以防御，除了需要做好日常网络安全防护之外，还需要接入高防服务，可以接入天下数据高防cdn，通过天下数据高防cdn隐藏源IP，对攻击流量进行清洗，保障企业网络及业务的正常运行。