So eazy！SpringBoot 一键去除参数前后空格和 XSS 过滤实战解析

@Overridepublic void doFilter(ServletRequest arg0, ServletResponse arg1,                     FilterChain arg2) throws IOException, ServletException {    ParameterRequestWrapper parmsRequest = new ParameterRequestWrapper(            (HttpServletRequest) arg0);    arg2.doFilter(parmsRequest, arg1);}
@Overridepublic void init(FilterConfig arg0) throws ServletException {
}
@Overridepublic void destroy() {
}

/** * 去除参数头尾空格过滤器 * @return */@Beanpublic FilterRegistrationBean parmsFilterRegistration() {    FilterRegistrationBean registration = new FilterRegistrationBean();    registration.setDispatcherTypes(DispatcherType.REQUEST);    registration.setFilter(new ParamsFilter());    registration.addUrlPatterns("/*");    registration.setName("paramsFilter");    registration.setOrder(Integer.MAX_VALUE-1);    return registration;}

private Map<String , String[]> params = new HashMap<>();

public ParameterRequestWrapper(HttpServletRequest request) {    // 将request交给父类，以便于调用对应方法的时候，将其输出，其实父亲类的实现方式和第一种new的方式类似    super(request);    //将参数表，赋予给当前的Map以便于持有request中的参数    Map<String, String[]> requestMap=request.getParameterMap();
    this.params.putAll(requestMap);    this.modifyParameterValues();
}/** * 重写getInputStream方法  post类型的请求参数必须通过流才能获取到值 */@Overridepublic ServletInputStream getInputStream() throws IOException {    //非json类型，直接返回    if (!MediaType.APPLICATION_JSON_VALUE.equalsIgnoreCase(super.getHeader(HttpHeaders.CONTENT_TYPE))){        return super.getInputStream();    }    //为空，直接返回    String json = IOUtils.toString(super.getInputStream(), StandardCharsets.UTF_8);    if (StringUtils.isEmpty(json)) {        return super.getInputStream();    }    Object resultObject = JsonValueTrimUtil.jsonStrTrim(json);//这里处理的是json传参的参数    ByteArrayInputStream bis = new ByteArrayInputStream(JSON.toJSONString(resultObject).getBytes(StandardCharsets.UTF_8));    return new CustomServletInputStream(bis);
}/** * 将parameter的值去除空格后重写回去 */public void modifyParameterValues(){    Set<String> set = params.keySet();    Iterator<String> it = set.iterator();    while(it.hasNext()){        String key = it.next();        String[] values = params.get(key);        values[0] = values[0].trim();        values[0] = JsoupUtil.clean(values[0]);//这里处理的是form传参的参数        params.put(key, values);    }}/** * 重写getParameter 参数从当前类中的map获取 */@Overridepublic String getParameter(String name) {    String[]values = params.get(name);    if(values == null || values.length == 0) {        return null;    }    return values[0];}/** * 重写getParameterValues */@Overridepublic String[] getParameterValues(String name) {//同上    return params.get(name);}
class CustomServletInputStream extends  ServletInputStream{    private ByteArrayInputStream bis;    public CustomServletInputStream(ByteArrayInputStream bis){        this.bis=bis;    }    @Override    public boolean isFinished() {        return true;    }
    @Override    public boolean isReady() {        return true;    }
    @Override    public void setReadListener(ReadListener listener) {
    }    @Override    public int read() throws IOException {        return bis.read();    }}

public static Object jsonStrTrim(String jsonStr){    if (StringUtils.isBlank(jsonStr)){        return "";    }    Object typeObject = new JSONTokener(jsonStr).nextValue();    if (typeObject instanceof cn.hutool.json.JSONObject){        return jsonObjectTrim(JSONObject.parseObject(jsonStr));    }    if (typeObject instanceof cn.hutool.json.JSONArray){        return jsonArrayTrim(JSONArray.parseArray(jsonStr));    }    jsonStr = JsoupUtil.clean(jsonStr);    return jsonStr.trim();}
/** * @Description: 传入jsonObject 去除当中的空格 * @param jsonObject * @return */public static JSONObject jsonObjectTrim(JSONObject jsonObject){    // 取出 jsonObject 中的字段的值的空格    Set<Map.Entry<String, Object>> entrySets = jsonObject.entrySet();    entrySets.forEach(entry -> {        Object value = entry.getValue();        if (value == null){            return;        }        if (value instanceof String) {            String resultValue = (String) value;            if (StringUtils.isNotBlank(resultValue)){                resultValue = resultValue.trim();                resultValue = JsoupUtil.clean(resultValue);                jsonObject.put(entry.getKey(), resultValue);            }            return;        }        if (value instanceof JSONObject){            jsonObject.put(entry.getKey(), jsonObjectTrim((JSONObject) value));            return;        }        if (value instanceof JSONArray){            jsonObject.put(entry.getKey(), jsonArrayTrim((JSONArray) value));            return;        }    });    return jsonObject;}
/** * @Description: 将 jsonarry 的jsonObject 中的value值去处前后空格 * @param arr * @return */public static JSONArray jsonArrayTrim(JSONArray arr){    if( arr != null && arr.size() > 0){        Object tempObject = null;        for (int i = 0; i < arr.size(); i++) {            tempObject = arr.get(i);            if (tempObject instanceof String){                arr.set(i,  tempObject );                continue;            }            JSONObject jsonObject = (JSONObject) arr.get(i);            // 取出 jsonObject 中的字段的值的空格            jsonObject = jsonObjectTrim(jsonObject);            arr.set(i,  jsonObject );        }    }    return arr;}