springboot 注册xss过滤器未生效

Spring Boot 中注册 XSS 过滤器未生效可能是由于以下几个原因：

1. **配置文件未设置**：检查`webMvcConfigurerAdapter`或`WebMvcConfigurer`接口的实现类中是否添加了XSS过滤器的配置。通常会在`SecurityFilterChain`或者`RequestMappingHandlerInterceptor`中配置`ContentSecurityPolicy`。

@Configuration
public class WebSecurityConfig implements WebMvcConfigurer {
    @Override
    public void addViewControllers(ViewControllerRegistry registry) {
        registry.addViewController("/").setViewName("forward:/index");
    }

    @Override
    public void configureContentSecurityPolicy(ContentSecurityPolicyBuilder builder) {
        // 添加相应的策略，如允许script-src 'self' 'unsafe-inline'
        builder.defaultSrc(CspDirectiveSelf.SELF)
                .styleSrc(CspDirectiveSelf.SELF, "https://fonts.googleapis.com")
                .scriptSrc(CspDirectiveSelf.SELF, "https://ajax.googleapis.com", "https://code.jquery.com");
    }
}

2. **全局或请求级的过滤器**：确保已经将XSS过滤器配置到了全局`<filter>`标签或者`<filter-mapping>`标签中，以及应用到需要过滤的`<url-pattern>`上。

3. **过滤器顺序**：如果自定义的XSS过滤器和其他过滤器混在一起，可能因为加载顺序导致并未生效。确认XSS过滤器在其应该生效的位置之前执行。

4. **已启用缓存**：浏览器缓存可能导致内容未经过滤就返回给用户。考虑在控制器层面禁用缓存，或者在`ResponseHeaderWriter`中处理CORS。

5. **错误的注入位置**：检查是否正确地将XSS过滤器添加到Spring MVC的生命周期中，比如Spring Security、Spring Cloud Gateway等框架可能会有自己的配置机制。

如果你遇到这个问题，可以尝试重启服务，清理浏览器缓存，并逐步排查配置是否有误。另外，确保代码有适当的日志记录，以便定位问题所在。