【文章內(nèi)容簡介】 uest request, ServletResponse response, FilterChain filtreChain) throws IOException, ServletException { HttpServletRequest req = (HttpServletRequest) request。 String contentType = () == null ? : request .getContentType()。 if (!(multipart/formdata) amp。amp。 !(notProtect, FilterUtils .getFullUrlFromRequest(req))) { Enumeration params = ()。 boolean isSecurity = true。 while (null != params amp。amp。 ()) { String para_name = (String) ()。 String[] para_value = null。 para_value = (String[]) (para_name)。 for (int i = 0。 i 。 i++) { String _para_value = para_value[i].toLowerCase()。 if ((_para_value).matches() || (_para_value).matches()) { isSecurity = false。 break。 } } if (!isSecurity) break。 } if (!isSecurity) { (text/html。 charset=GBK)。 ().write(script language=39。javascript39。alert(39。輸入有誤,請不要包含+totalLetter+中的任何敏感字符!39。)。(1)。/script)。 return。 } } (request, response)。 } public void init(FilterConfig filterConfig) throws ServletException { letterPattern = ([az]*)。 String scriptPara = (scriptRegx).toLowerCase()。 String sqlPara = (sqlRegx).toLowerCase()。 notProtect = (notProtect)。 scriptPattern = (resultStr(scriptPara))。 sqlPattern = (resultStr(sqlPara))。 totalLetter = scriptPara+|+sqlPara。 int index = (39。)。 if(index 0){ totalLetter = (0, index)+\\39。+(index+1)。 } } public String resultStr(String oldStr) { String newStr = 。 if (oldStr != null amp。amp。 !()) { String[] temp = (\\|)。 if ( 0) { for (int i = 0。 i 。 i++) { String tempStr = 。 boolean isLetter = false。 for (int j = 0。 j temp[i].length()。 j++) { String str = temp[i].substring(j, j + 1)。 if ((str).matches()) { tempStr = tempStr+ ((\\%+ parseAscii(()) + )| + (\\%+ parseAscii(str)+ )|( + str + ))。 isLetter = true。 } else { if((( )|| ())) str = \\+str。 tempStr = tempStr + ((\\%+ parseAscii(str) + )|( + str+ ))。 isLetter = false。 } } if(isLetter) if (()) { newStr = newStr + .*(\\s+)( + tempStr + )(\\s+).*。 } else { newStr = newStr + |.*(\\s+)( + tempStr + )(\\s+).*。 } else if (()) { newStr = newStr + .*( + tempStr + ).*。 } else { newStr = newStr + |.*( + tempStr + ).*。 } } } } return newStr。 } private String toHexUtil(int n){ String rt=。 switch(n){ case 10:rt+=A。break。 case 11:rt+=B。break。 case 12:rt+=C。break。 case 13:rt+=D。break。 case 14:rt+=E。break。 case 15:rt+=F。break。 default: rt+=n。 } return rt。 } public String toHex(int n){ StringBuffer sb=new StringBuffer()。 if(n/16==0){ return toHexUtil(n)。 }else{ String t=toHex(n/16)。 int nn=n%16。 (t).append(toHexUtil(nn))。 } return ()。 } public String parseAscii(String str){ StringBuffer sb=new StringBuffer()。 byte[] bs=()。 for(int i=0。i。i++) (toHex(bs[i]))。 return ()。 }}輔助類如下：public class FilterUtils { public static String getFullUrlFromRequest(HttpServletRequest httRequest) { String url = ()。 String queryString = ()。 if (null != queryString amp。amp。 !().equals()) { url = url + ? + queryString。 } return url。 } public static boolean isContainUrl(String urlList, String url) { boolean isExclude = false。 if (null != urlList amp。amp。 !().equals()) { String[] resources = (,)。 if (null != resources) { for (int i = 0。 i 。 i++) { if (null != resources[i] amp。amp。 !resources[i].equals()) if ((resources[i].trim()) = 0) { isExclude = true。 break。 } } } } return isExclude。 }}：filter filternameSecurityFilter/filtername filterclass /filterclass initparam paramnamescriptRegx/paramname paramvalue ![CDATA[||=||and]] /paramvalue /initparam initparam paramnamesqlRegx/paramname paramvalue![CDATA[39。|。|or||(|)]]/paramvalue /initparam initparam paramnamenotProtect/paramname paramvalue,.upload/paramvalue /initparam /filter filtermapping filternameSecurityFilter/filtername urlpattern*.jsp/urlpattern /filtermapping（2）每個請求都采取特定的數(shù)據(jù)驗證函數(shù)，驗證數(shù)據(jù)的類型和長度，只允許特定的特殊字符輸入。 注意：u 有些聰明的攻擊者在攻擊的時候會把一些敏感字符轉(zhuǎn)化成URL編碼（