JFinal 如何进行XSS过滤（JFinal 的简单介绍到利用JFinal 的handler实现)

在此之前我们来谈谈JFinal

JFinal 是基于Java 语言的极速 web开发框架，其核心设计目标是开发迅速、代码量少、学习简单、功能强大、轻量级、易扩展、Restful。在拥有Java语言所有优势的同时再拥有ruby、python等动态语言的开发效率。
JFinal 采用微内核全方位扩展架构，全方位是指其扩展方式在空间上的表现形式。JFinal由Handler、Interceptor、Controller、Render、Plugin五大部分组成。

所以今天我们就讲讲其一：Handler。

JFinal的 Handler是 AOP + 责任链 模式的一个变种，JFinal对action及interceptor处理自身也是一个Handler名叫ActionHandler，可见其功能之强大。平时开发的时候一般不需要使用，当Action与Interceptor还不够用的时候可以考虑Handler上场。另外Handler可以替代Filter，你无需在web.xml 中再声明Filter了。

废话不多说了，赶紧进入正文

JFinal 是一个近乎零配置，基于spring MVC研发的框架，操作简单。节省代码，适用于所有web项目。适合中小型项目开发。10分钟写出一个页面的增删改查。。app，服务端也可以。只需一个简单的继承JFinalConfig 的配置类来配置JFinal所需的就行了。然后把它配置到web.xml中就可以了，其他的Interceptor、Controller、Handler只在该配置类里处理就行了，无需再在web.xml中配置了

下面是将该配置类配置到web.xml的示例：

    <filter>        <filter-name>jfinal</filter-name>        <filter-class>com.jfinal.core.JFinalFilter</filter-class>        <init-param>            <param-name>configClass</param-name>            <param-value>com.uniasia.JFinalProjectConfigurer</param-value>        </init-param>    </filter>

---

---

下面简要说说JFinalProjectConfigurer.java 这个类 因为该类继承JFinal 框架的抽象 JFinalConfig 类，该类有5个抽象，所以要实现这5个抽象方法

    /**     * Config constant     */    public abstract void configConstant(Constants me);    /**     * Config route     */    public abstract void configRoute(Routes me);    /**     * Config plugin     */    public abstract void configPlugin(Plugins me);    /**     * Config interceptor applied to all actions.     */    public abstract void configInterceptor(Interceptors me);    /**     * Config handler     */    public abstract void configHandler(Handlers me);

今天我们主要关注的是configHandler(Handlers me) 这个方法，这里是配置我们自己写的handler。
在该方法里面配置我们的handler的方法如下：

    /**     * 配置处理器(这里添加了对html后缀的处理)如果不需要则默认为rest风格     */    public void configHandler(Handlers handler) {        //handler.add(我们自定义handler的实例)        handler.add(new XssHandler());    }

下面开始定义我们的handler的。
创建一个XssHandler类，继承JFinal 的 Handler 实现handler（）方法

public class XssHandler extends Handler{    @Override    public void handle(String target, HttpServletRequest request,            HttpServletResponse response, boolean[] isHandled) {        // 对于非静态文件，和非指定排除的url实现过滤        //我这里过滤的是资源文件和网站后台        if (target.indexOf(".") == -1&&!target.contains("manager")){            request = new HttpServletRequestWrapper(request);        }        nextHandler.handle(target, request, response, isHandled);    }}

下面就是重写HttpServletRequestWrapper继承javax.servlet.http.HttpServletRequestWrapper

package com.uniasia.common.handler;import java.util.HashMap;import java.util.Iterator;import java.util.Map;import java.util.Set;import javax.servlet.http.HttpServletRequest;import org.apache.commons.lang.ArrayUtils;import org.apache.commons.lang.StringUtils;/** * @desc 处理Xss漏洞 * @author oneask * @time  2016年12月16日 */public class HttpServletRequestWrapper extends javax.servlet.http.HttpServletRequestWrapper{    private HttpServletRequest request;    public HttpServletRequestWrapper(HttpServletRequest request) {        super(request);        this.request = request;    }    /**     * 重写getParameter方法     */    @Override    public String getParameter(String name) {        String value = this.request.getParameter(name);        if (value == null)            return null;        value = format(value);        return value;    }    /**     * 重写getParameterMap     */    @SuppressWarnings("unchecked")    @Override    public Map<String, String[]> getParameterMap() {        HashMap<String, String[]> paramMap = (HashMap<String, String[]>) super.getParameterMap();        paramMap = (HashMap<String, String[]>) paramMap.clone();        for (Iterator iterator = paramMap.entrySet().iterator(); iterator.hasNext(); ) {            Map.Entry<String, String[]> entry = (Map.Entry<String, String[]>) iterator.next();            String [] values = entry.getValue();            for (int i = 0; i < values.length; i++) {                if(values[i] instanceof String){                    values[i] = format(values[i]);                }            }            entry.setValue(values);        }        return paramMap;    }    public String filter(String message) {        if (message == null)            return (null);        message = format(message);        return message;    }    /**     *  @desc 统一处理特殊字符的方法，这里用的是apache的StringUtils.replaceEach  方法     *  @org.apache.commons.lang.StringUtils.replaceEach      *  @author  oneask     *  @time 2016年12月16日     *  @param name 要替换的字符     */    private String format(String name) {        //注意该方法，替换的字符前后数组长度要一一对应，我这里将特殊的字符要替换为空        return StringUtils.replaceEach(name,//                new String[]  {"%22","%27","%28","%29","%2B","%2b","%2F", "%2f","%2f","%25","%3E","%3E","%3E","%3D","%3d","%3C","%3c","%3b","%3B","%3B","%3E","%3E",":","\\","'","<",">","\"","/","%20","=",".","@"},             //                new String[]{"","","","","","","","","","","","","","","","","","","","","","","","","","","","","","","","",""});    }}

希望以上的内容能帮助到大家，这是我经过了两三次的踩坑得出来的。