在Java Web开发中，SQL注入是一种常见的安全威胁，它允许攻击者通过恶意构造的SQL语句来操控数据库。为了防止这种攻击，开发者通常会使用过滤器（Filter）来对用户输入进行预处理，确保输入的数据不会对系统造成危害。本文将详细介绍如何使用Java Filter实现防止SQL注入的功能。
我们需要创建一个实现了`javax.servlet.Filter`接口的类，例如名为`XSSFilter`。这个类将负责拦截请求并处理可能存在的SQL注入风险。下面是一个简单的`XSSFilter`示例：
```java
public class XSSFilter implements Filter {
@Override
public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain)
throws IOException, ServletException {
// 设置一个标志，决定是否只对URL进行XSS验证，或者对所有字段进行验证
boolean flag = true;
// 如果只对URL做XSS校验
if (flag) {
HttpServletRequest httpServletRequest = (HttpServletRequest) servletRequest;
HttpServletResponse httpServletResponse = (HttpServletResponse) servletResponse;
// 获取请求的URL并解码
String requestUri = httpServletRequest.getRequestURL().toString();
requestUri = URLDecoder.decode(requestUri, "UTF-8");
// 检查URL是否属于白名单，如果是，则直接传递请求到下一个过滤器
if (isWhiteListUrl(requestUri)) {
filterChain.doFilter(servletRequest, servletResponse);
return;
}
// 创建RequestWrapper以包装原始请求，以便我们可以修改请求参数
RequestWrapper rw = new RequestWrapper(httpServletRequest);
// 获取请求参数
String param = httpServletRequest.getQueryString();
// 如果有查询字符串，进行解码和处理
if (!isEmpty(param) && param != null) {
param = URLDecoder.decode(param, "UTF-8");
String originalUrl = requestUri + "?" + param;
// 对于特定的URL，执行SQL注入检查并清理
if (requestUri.endsWith("/askQuestion.html") || requestUri.endsWith("/member/answer.html")) {
param = rw.cleanSQLInject(param);
}
// 清理XSS
String xssParam = rw.cleanXSS(param);
// 如果清理后的参数与原始参数不同，重定向到新的URL
if (!xssParam.equals(param)) {
System.out.println("requesturi::::::" + requestUri);
httpServletResponse.sendRedirect(requestUri + "?" + xssParam);
System.out.println("no entered.");
}
}
// 继续处理过滤链
filterChain.doFilter(rw, servletResponse);
}
}
// 白名单URL检查
private boolean isWhiteListUrl(String requestUri) {
// 添加你认为安全的URL到白名单
String[] whiteListUrls = {
"/alipay_hotel_book_return.html",
"/account_bank_return.html",
"/alipay/activity.html",
"/alipayLogin.html"
};
for (String url : whiteListUrls) {
if (requestUri.contains(url)) {
return true;
}
}
return false;
}
// 空字符串检查
private boolean isEmpty(String str) {
return str == null || str.isEmpty();
}
}
```
在上述代码中，`doFilter`方法是核心，它首先检查请求的URL是否在白名单内，如果在则直接放行。然后，它获取请求的参数，并对参数进行解码。对于特定的URL，如`/askQuestion.html`和`/member/answer.html`，我们会执行SQL注入检查。这里假设`cleanSQLInject`方法是用于检测和清理可能的SQL注入的函数。接下来，我们使用`cleanXSS`方法清除可能的跨站脚本（XSS）攻击。如果清理后的参数与原始参数不同，我们将发送一个带有清理后参数的新请求给服务器。
`cleanSQLInject`和`cleanXSS`方法通常会利用正则表达式或其他库（如OWASP Java Encoder库）来检查和转义潜在的恶意字符。例如，`cleanSQLInject`可能会替换或移除单引号、双引号等特殊字符，而`cleanXSS`则会转义HTML特殊字符以防止脚本执行。
别忘了在Web应用的`web.xml`配置文件中注册这个过滤器，指定其拦截哪些URL模式：
```xml
<filter>
<filter-name>XSSFilter</filter-name>
<filter-class>com.example.XSSFilter</filter-class>
</filter>
<filter-mapping>
<filter-name>XSSFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
```
这样，所有进入Web应用的请求都会先经过`XSSFilter`的处理，有效地降低了SQL注入的风险。然而，这只是一个基础示例，实际项目中可能需要更复杂的逻辑，包括对更多类型的输入进行检查，以及使用更强大的库来处理SQL注入和XSS防护。同时，对于敏感的操作，应始终使用参数化查询或存储过程，以提供更强大的防御机制。
