java 全局防html注入

要实现全局防止 HTML 注入，可以通过过滤器（Filter）来实现。过滤器是 Java Web 应用程序中常用的一种技术，可以在请求被处理之前或之后对请求进行一些处理，例如修改请求参数、添加请求头、对响应内容进行过滤等。

下面是一个简单的过滤器，可以对所有的请求参数进行 HTML 编码：

import javax.servlet.*;
import javax.servlet.http.HttpServletRequest;
import java.io.IOException;
import org.owasp.encoder.Encode;

public class HtmlFilter implements Filter {
    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        HttpServletRequest httpServletRequest = (HttpServletRequest) request;
        chain.doFilter(new HtmlRequestWrapper(httpServletRequest), response);
    }

    @Override
    public void destroy() {
    }

    private class HtmlRequestWrapper extends HttpServletRequestWrapper {
        public HtmlRequestWrapper(HttpServletRequest request) {
            super(request);
        }

        @Override
        public String getParameter(String name) {
            String value = super.getParameter(name);
            return Encode.forHtml(value);
        }

        @Override
        public String[] getParameterValues(String name) {
            String[] values = super.getParameterValues(name);
            if (values != null) {
                for (int i = 0; i < values.length; i++) {
                    values[i] = Encode.forHtml(values[i]);
                }
            }
            return values;
        }
    }
}

在上面的例子中，我们创建了一个名为 HtmlFilter 的过滤器，并实现了 Filter 接口中的三个方法。在 doFilter 方法中，我们创建了一个 HtmlRequestWrapper 类型的对象，并将其传递给 FilterChain 的 doFilter 方法。HtmlRequestWrapper 类继承了 HttpServletRequestWrapper 类，并重写了 getParameter 和 getParameterValues 方法，对请求参数进行了 HTML 编码。

使用这个过滤器非常简单，只需要在 web.xml 文件中添加以下配置即可：

<filter>
    <filter-name>htmlFilter</filter-name>
    <filter-class>com.example.HtmlFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>htmlFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

这样，所有的请求都会被 HtmlFilter 过滤器拦截，并对参数进行 HTML 编码，从而实现全局防止 HTML 注入攻击。