Spring Boot 项目中的安全实践至关重要。下面我将详细阐述如何防止 SQL 注入、XSS（跨站脚本攻击） 以及实现数据脱敏的最佳实践。

1. 防止 SQL 注入 (SQL Injection)

SQL 注入是通过将恶意 SQL 代码插入到应用程序的输入参数中，从而欺骗服务器执行恶意命令的攻击方式。

Spring Boot 中的防护策略：

a. 使用 PreparedStatement (JdbcTemplate)

Spring 的 JdbcTemplate 默认使用 PreparedStatement，它会将输入参数进行预编译，将输入数据视为参数而非 SQL 代码的一部分，从而有效防止注入。

java

@Repository
public class UserRepository {
    @Autowired
    private JdbcTemplate jdbcTemplate;

    public User getUserById(Long id) {
        String sql = "SELECT * FROM users WHERE id = ?"; // 使用参数占位符
        return jdbcTemplate.queryForObject(sql, new Object[]{id}, new UserRowMapper());
    }
}

b. 使用 Spring Data JPA (ORM 框架)

ORM 框架（如 Hibernate）通过 HQL 或 JPQL，同样使用参数绑定的方式，天然避免了 SQL 拼接。

java

public interface UserRepository extends JpaRepository<User, Long> {
    // 方法名查询或使用 @Query 注解都是安全的
    @Query("SELECT u FROM User u WHERE u.username = :username")
    User findByUsername(@Param("username") String username);
}

c. 额外的防护层：使用 SQL 注入过滤器

可以集成像 SQL Injection Prevention Library 这样的库，或者在过滤器中对输入进行关键字检查（但这不是主要手段，参数化查询才是根本）。

最佳实践：

永远不要使用字符串拼接来构造 SQL 语句。
即使是使用 @Query 注解中的 native SQL，也必须使用参数绑定（:param 或 ?1）。
对数据库用户进行权限最小化分配，避免应用数据库用户拥有过高的权限（如 DROP, DELETE）。

2. 防止 XSS (跨站脚本攻击)

XSS 攻击允许攻击者将恶意脚本注入到其他用户会浏览的网页中。

Spring Boot 中的防护策略：

a. 输出编码 (Output Encoding)

最根本的解决方案是在将数据渲染到 HTML 页面前对其进行转义。

Thymeleaf 模板引擎：Thymeleaf 默认会对所有在 th:text 标签中的数据进行 HTML 转义。
html
<p th:text="${userContent}"></p> 
如果你确实需要输出非转义的 HTML（例如富文本编辑器内容），必须使用 th:utext 并确保该内容来自可信源或已被清理。

b. 输入验证和过滤 (Input Validation/Sanitization)

Bean Validation (@NotEmpty, @Pattern等)：在接收输入的 DTO 上使用注解进行基本格式验证。

      public class UserDto {
    @NotBlank
    @Size(max = 100)
    private String name;

    @Email
    private String email;
}

使用 OWASP Java HTML Sanitizer：对于允许用户输入 HTML 的场景（如富文本评论），必须使用白名单策略进行清理。
xml

<dependency>
    <groupId>com.googlecode.owasp-java-html-sanitizer</groupId>
    <artifactId>owasp-java-html-sanitizer</artifactId>
    <version>20211018.2</version>
</dependency>

import org.owasp.html.Sanitizers;
public String sanitizeHtml(String untrustedHtml) {
    return Sanitizers.FORMATTING.and(Sanitizers.LINKS).sanitize(untrustedHtml);
}

c. 设置 HTTP 安全头

通过设置 HTTP 响应头，让浏览器启用安全策略，作为一道额外的防线。

Content Security Policy (CSP)：是最有效的防 XSS 头。它规定浏览器只允许加载指定源的资源。

  @Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.headers()
            .contentSecurityPolicy("script-src 'self' https://trusted.cdn.com;");
    }
}

其他头：

X-Content-Type-Options: nosniff：防止浏览器 MIME 类型嗅探。
X-Frame-Options: DENY：防止点击劫持。
X-XSS-Protection: 1; mode=block：启用（已过时但仍有用的）浏览器内置 XSS 过滤器。

最佳实践：

默认对所有输出进行 HTML 转义。
对富文本输入，使用严格的白名单策略进行清理，而不是黑名单。
强制实施 CSP 策略。

3. 数据脱敏 (Data Masking)

数据脱敏是指在非生产环境或日志输出中，将敏感信息（如手机号、身份证、邮箱）的部分字符隐藏，以保护用户隐私。

Spring Boot 中的实现策略：

a. 日志脱敏

在打印日志时，避免直接输出敏感数据。可以通过以下方式实现：

自定义 Layout/Converter (Logback/log4j2)：重写日志格式，在日志输出前用正则表达式匹配并替换敏感字段。
使用注解和 AOP 进行切面处理：更优雅的解决方案。

示例：使用 AOP 进行日志脱敏

定义一个脱敏注解：

@Retention(RetentionPolicy.RUNTIME)
@Target(ElementType.FIELD)
public @interface Sensitive {
    MaskType type(); // 枚举，如 PHONE, ID_CARD, EMAIL等
}

在 DTO 字段上使用注解：

public class UserDto {
    @Sensitive(type = MaskType.NAME)
    private String name;

    @Sensitive(type = MaskType.PHONE)
    private String phone;
}

编写一个 AOP 切面，在 @Around 方法执行后，对返回值进行遍历和脱敏处理。

    @Aspect
@Component
public class SensitiveDataAspect {
    @Around("execution(* com.example.controller.*.*(..))")
    public Object around(ProceedingJoinPoint joinPoint) throws Throwable {
        Object result = joinPoint.proceed();
        if (result != null) {
            maskSensitiveData(result);
        }
        return result;
    }
    // 使用反射检查字段上的 @Sensitive 注解并进行脱敏
    private void maskSensitiveData(Object object) {
        // ... 反射实现脱敏逻辑
    }
}

b. JSON 序列化脱敏（接口返回脱敏）

在返回给前端的 JSON 数据中直接进行脱敏。可以使用 Jackson 自定义序列化器。

实现一个自定义的 Jackson JsonSerializer：

public class SensitiveSerializer extends JsonSerializer<String> {
    private final MaskType type;
    public SensitiveSerializer(MaskType type) {
        this.type = type;
    }
    @Override
    public void serialize(String value, JsonGenerator gen, SerializerProvider serializers) throws IOException {
        gen.writeString(MaskUtils.mask(value, type));
    }
}

在字段上指定自定义序列化器：

public class UserDto {
    @JsonSerialize(using = SensitiveSerializer.class)
    @Sensitive(type = MaskType.PHONE) // 可以复用之前的注解
    private String phone;
}

c. 数据库层面脱敏

对于测试、开发等非生产数据库，可以在查询时使用数据库函数进行脱敏（如 MySQL 的 INSERT() 函数），或者在从生产库同步时通过 ETL 工具进行脱敏处理。这在 Spring Boot 应用之外完成。

最佳实践：

在日志中绝不记录明文密码、完整证件号。
接口返回遵循最小化原则，只返回前端必要的信息，敏感字段直接脱敏。
开发、测试环境使用假的或脱敏的生产数据副本。

总结与全局安全建议

威胁	防护策略	Spring Boot 具体实现
SQL 注入	参数化查询	JdbcTemplate, JPA (Hibernate)
XSS	输入验证、输出编码、CSP 头	Thymeleaf 转义, OWASP Sanitizer, HttpSecurity 配置
数据脱敏	日志切面、JSON 自定义序列化	AOP, Jackson JsonSerializer

额外的全局安全措施：

启用 HTTPS：使用 application.properties 配置或通过反向代理（Nginx）启用。
依赖检查：使用 OWASP Dependency-Check 插件定期扫描项目依赖，发现已知漏洞。
使用 Spring Security：这是保护 Spring Boot 应用的完整框架，负责身份认证 (Authentication) 和授权 (Authorization)，防止未授权访问。
全局异常处理：使用 @ControllerAdvice 捕获异常，避免向用户返回详细的堆栈跟踪信息。
Actuator 端点安全：如果使用了 Spring Boot Actuator，务必通过 Spring Security 保护其端点，避免泄露应用信息。

通过结合以上多层次、纵深的安全实践，可以极大地提升 Spring Boot 应用程序的安全性。

开源代码MIT协议项目分享：需要留言

醋醋百科网

Good Luck To You!

Spring Boot 项目的安全实践:防止 SQL 注入、XSS 与数据脱敏

1. 防止 SQL 注入 (SQL Injection)

a. 使用 PreparedStatement (JdbcTemplate)

b. 使用 Spring Data JPA (ORM 框架)

c. 额外的防护层：使用 SQL 注入过滤器

2. 防止 XSS (跨站脚本攻击)

a. 输出编码 (Output Encoding)

b. 输入验证和过滤 (Input Validation/Sanitization)

c. 设置 HTTP 安全头

3. 数据脱敏 (Data Masking)

a. 日志脱敏

b. JSON 序列化脱敏（接口返回脱敏）

c. 数据库层面脱敏

总结与全局安全建议