Java 安全：如何防止 SQL 注入与 XSS 攻击？
在 Java 开发领域，安全问题至关重要，而 SQL 注入和 XSS 攻击是两种常见的安全威胁。本文将深入探讨如何有效防止这两种攻击，通过详细代码实例为您呈现解决方案。
一、SQL 注入：隐藏在数据库操作中的危机
（一）什么是 SQL 注入
SQL 注入是一种利用应用程序对用户输入缺乏有效过滤，将恶意 SQL 代码插入到查询语句中，从而对数据库进行未授权访问或操作的攻击方式。例如，假设有一个登录功能，代码如下：
String sql = "SELECT * FROM user WHERE username = '" + username + "' AND password = '" + password + "'";
Statement stmt = connection.createStatement();
ResultSet rs = stmt.executeQuery(sql);
如果攻击者在用户名或密码输入框中输入类似 ' OR '1'='1 的内容，就会改变原 SQL 语句的逻辑，导致查询结果不准确，甚至可能泄露用户信息。
（二）防止 SQL 注入的方法
- 使用预编译语句（PreparedStatement）
这是最有效的防止 SQL 注入的方法之一。PreparedStatement 会对参数进行转义和处理，使其不作为 SQL 代码的一部分执行。代码示例：
String sql = "SELECT * FROM user WHERE username = ? AND password = ?";
PreparedStatement pstmt = connection.prepareStatement(sql);
pstmt.setString(1, username);
pstmt.setString(2, password);
ResultSet rs = pstmt.executeQuery();
通过这种方式，用户输入的内容会被当作参数处理，而不是直接拼接到 SQL 语句中，从而有效防止 SQL 注入。
- 输入验证
对用户输入进行严格验证，确保输入符合预期的格式和类型。可以使用正则表达式等方法来检查输入内容。例如，对于用户名，可以要求其只包含字母、数字和下划线：
public boolean isValidUsername(String username) {
String regex = "^[a-zA-Z0-9_]+$";
return username.matches(regex);
}
在进行数据库操作之前，先对输入进行验证，如果不通过则不允许执行查询操作。
二、XSS 攻击：潜伏在网页输出中的风险
（一）XSS 攻击的原理
XSS（跨站脚本攻击）是指攻击者将恶意脚本代码注入到网页中，当其他用户浏览该网页时，恶意脚本会在其浏览器中执行。例如，在一个论坛留言功能中，攻击者发布一条包含恶意脚本的留言：
<script>alert('您已被攻击');</script>
当其他用户查看该留言时，浏览器会执行这段脚本，弹出警告框。在更严重的情况下，攻击者可以利用 XSS 攻击窃取用户的 Cookie、会话信息等。
（二）防止 XSS 攻击的策略
- 输出编码
对输出到页面的内容进行编码处理，将特殊字符转换为对应的 HTML 实体。例如，将<转换为<，>转换为>，&转换为&等。可以使用一些开源的编码库来实现这一功能。代码示例：
String safeOutput = StringEscapeUtils.escapeHtml4(userInput);
在将用户输入输出到页面之前，先进行编码处理，这样即使用户输入了恶意脚本，也会被当作普通文本显示，而不会被执行。
- 输入验证
同样，在接收用户输入时，对输入内容进行严格的验证和过滤。可以设置白名单，只允许输入符合特定规则的内容。例如，对于留言内容，可以限制只能包含字母、数字、空格和一些常见的标点符号：
public boolean isValidMessage(String message) {
String regex = "^[a-zA-Z0-9\\s,.!?\"'()\\-]+$";
return message.matches(regex);
}
如果输入不符合规则，则不允许提交。
三、总结
在 Java 开发中，防止 SQL 注入和 XSS 攻击是保障应用程序安全的重要环节。通过使用预编译语句、输入验证等方法可以有效防止 SQL 注入；采用输出编码、严格的输入验证等策略可以抵御 XSS 攻击。开发者应时刻关注安全问题，在代码编写过程中采取相应的防护措施，确保应用程序的安全性和稳定性，保护用户数据和隐私不受侵害。
