本文目录一览：
几种极其隐蔽的XSS注入的防护
(1)基于特征的防御。XSS漏洞和著名的SQL注入漏洞一样，都是利用了Web页面的编写不完善，所以每一个漏洞所利用和针对的弱点都不尽相同。这就给XSS漏洞防御带来了困难，不可能以单一特征来概括所有XSS攻击。
xss漏洞防御方法有输入过滤、纯前端渲染、转义HTML和标签和属性基于白名单过滤。反射性和DOM-baseed型可以归类为非持久性XSS攻击。存储型可以归类为持久性XSS攻击。
第一种：对普通的用户输入，页面原样内容输出。打开http：//go.ent.16com/goproducttest/test.jsp(限公司IP)，输 入：alert(‘xss’)， JS脚本顺利执行。
摘要：XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。
在显示的时候对非法字符进行转义 如果项目还处在起步阶段，建议使用第二种，直接使用jstl的c：out标签即可解决非法字符的问题。
跨站点脚本（XSS）允许攻击者通过利用因特网服务器的漏洞来发送恶意代码到其他用户。攻击者利用跨站点脚本（XSS）攻击向那些看似可信任的链接中注入恶意代码。
xss的过滤校验应该放在什么位置
xss的过滤校验应该放在前端输入校验、后端验证。前端输入校验：在前端页面对用户输入的数据进行校验和过滤，以确保输入的数据符合预期的格式和类型。后端验证：在后端服务器对接收到的数据进行验证和过滤。
所以没办法简单粗暴使用转义来处理，应该要对内容中的标签和属性，基于白名单进行过滤（附XSS黑名单：DOM中的内联事件监听器如onclick等、标签的href属性、标签、css中的url功能）。
这样xss又生效了。首先js变量输出一定要在引号内，但是如果我$c = \abc；alert(123)；//，你会发现放引号中都没用，自带的函数都不能很好的满足。
比如，可以对一些敏感的URL进行特殊处理，对一些常见的攻击进行拦截等。前置过滤器还可以对请求进行一些预处理操作。比如，可以对请求的参数进行校验和修正，确保参数的合法性和正确性。
StringEscapeUtils.escapeHtml4这个方法来自Apache的工具类，maven坐标如下：过滤的代码写完了，下面就是在一个filter中应用该代码。过滤表单类型的代码已经完成(xssObjectMapper这个是后面过滤json类型才用到的)。
什么是XSS攻击
跨站脚本攻击（XSS），是最普遍的Web应用安全漏洞。这类漏洞能够使得攻击者嵌入恶意脚本代码到正常用户会访问到的页面中，当正常用户访问该页面时，则可导致嵌入的恶意脚本代码的执行，从而达到恶意攻击用户的目的。
XSS攻击又称为跨站脚本，XSS的重点不在于跨站点，而是在于脚本的执行。
xss 跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets， CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。
XSS又叫CSS (Cross Site Script)，跨站脚本攻击。
XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。
XXS攻击全称跨站脚本攻击，是一种在Web应用中的计算机安全漏洞，它允许恶意Web用户将代码植入到提供给其他使用的页面中。
防止xss攻击方法
1、防御xss攻击的方法为：输入合法性验证、转义特殊字符、设置HTTP头部、使用脚本过滤器、限制cookie。输入合法性验证：在服务端对用户输入的数据进行合法性验证，如检查输入是否符合指定格式，排除恶意字符等。
2、xss漏洞防御方法有输入过滤、纯前端渲染、转义HTML和标签和属性基于白名单过滤。反射性和DOM-baseed型可以归类为非持久性XSS攻击。存储型可以归类为持久性XSS攻击。
3、防御xss攻击需要重点掌握以下原则：在将不可信数据插入到HTML标签之间时，对这些数据进行HTML Entity编码。在将不可信数据插入到HTML属性里时，对这些数据进行HTML属性编码。
4、xss攻击的种类及防御方式XSS攻击最主要有如下分类：反射型、存储型、及DOM-based型。反射性和DOM-baseed型可以归类为非持久性XSS攻击。存储型可以归类为持久性XSS攻击。
5、如何防御XSS攻击？[if ！supportLists][endif]对输入内容的特定字符进行编码，列如表示html标记等符号。[if ！supportLists][endif]对重要的cookie设置httpOnly，防止客户端通过document。