[Java实战]springboot3项目使用宝蓝德中间件 bes-lite-spring-boot-starter 添加安全头

[Java实战]springboot3项目使用宝蓝德中间件 bes-lite-spring-boot-starter 添加安全头

本文介绍了在SpringBoot3项目中使用宝兰德（BES）中间件时，如何有效修复常见的HTTP安全响应头缺失漏洞，确保企业级应用的安全防线。

一、HTTP响应头安全漏洞深度解析

在Web应用安全中，HTTP响应头是浏览器与服务器之间的重要安全通信机制。缺失关键安全头将使应用暴露于多种攻击之下。

1. HTTP响应头X-Content-Type-Options缺失漏洞

漏洞原理 ：

浏览器具有MIME类型嗅探（MIME Sniffing）功能，当服务器未明确指定Content-Type或指定不当时，浏览器会尝试自动推断内容类型。攻击者可利用此特性，将恶意脚本伪装成图片等无害文件，绕过内容安全检查。

攻击场景：

1. 用户上传一个包含JavaScript代码的.jpg文件
2. 服务器未正确设置Content-Type或未设置X-Content-Type-Options
3. 浏览器访问该文件时，误判为JavaScript文件并执行其中的恶意代码
4. 导致跨站脚本攻击（XSS）或任意代码执行

解决方案 ：

添加响应头：X-Content-Type-Options: nosniff

2. HTTP响应头X-Frame-Options缺失（点击劫持）漏洞

漏洞原理 ：

点击劫持（Clickjacking）是一种视觉欺骗手段。攻击者将目标网站嵌入到透明iframe中，诱使用户在不知情的情况下点击恶意按钮或链接。

攻击场景：

1. 攻击者创建恶意页面，内嵌银行转账页面（使用透明iframe）
2. 恶意页面上覆盖一个"领取红包"的诱人按钮
3. 用户点击"领取红包"时，实际点击的是银行转账的"确认"按钮
4. 导致用户资金被非法转移

解决方案 ：

添加响应头：X-Frame-Options: DENY（完全禁止嵌入）或SAMEORIGIN（仅允许同源嵌入）

3. HTTP响应头X-XSS-Protection缺失漏洞

漏洞原理 ：

现代浏览器内置了反射型XSS攻击的检测和阻止功能。此响应头用于控制浏览器的XSS过滤机制。

攻击场景：

1. 攻击者构造恶意URL：http://example.com/search?q=alert('XSS')
2. 服务器未过滤直接将搜索词返回页面
3. 浏览器未启用或未正确配置XSS过滤
4. 恶意脚本在用户浏览器中执行

解决方案 ：

添加响应头：X-XSS-Protection: 1; mode=block

二.项目配置：排除Tomcat并引入宝兰德

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
    <exclusions>
          <!-- 关键步骤：排除默认的Tomcat容器 -->
        <exclusion>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-tomcat</artifactId>
        </exclusion>
    </exclusions>
</dependency>
<!-- 引入宝兰德的SpringBoot Starter -->
<dependency>
    <groupId>com.bes.appserver</groupId>
    <artifactId>bes-lite-spring-boot-starter</artifactId>
    <version>xxx</version>
</dependency>

三. application.yml 文件配置

由于宝兰德容器替换了默认的Tomcat，标准的SpringBoot安全头配置在application.yml中无效，但基础服务器配置仍可正常工作

server:
  port: 13100 # 宝兰德容器端口，设置有效
  # 注意：此处无法设置安全头，如X-Frame-Options等

# 其他应用配置
spring:
  application:
    name: your-application

四. 核心解决方案：创建安全头部过滤器

针对宝兰德容器的特殊性，Servlet过滤器是最可靠、最通用的解决方案。此方案不依赖特定容器实现，在任何Servlet环境中都能正常工作。

在项目源码目录（如 src/main/java/com/yourpackage/config/）下创建一个新的Java类

package com.yourpackage.config;

import org.springframework.boot.web.servlet.FilterRegistrationBean;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import javax.servlet.*;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

@Configuration
public class WebSecurityHeaderConfig {

    /**
     * 注册安全头部过滤器
     */
    @Bean
    public FilterRegistrationBean<SecurityHeaderFilter> securityHeaderFilter() {
        FilterRegistrationBean<SecurityHeaderFilter> registrationBean = new FilterRegistrationBean<>();
        registrationBean.setFilter(new SecurityHeaderFilter());
        registrationBean.addUrlPatterns("/*"); // 应用于所有URL
        registrationBean.setOrder(1); // 设置过滤器执行顺序
        return registrationBean;
    }

    /**
     * 安全头部过滤器实现
     */
    public static class SecurityHeaderFilter implements Filter {

        @Override
        public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
                throws IOException, ServletException {
            HttpServletResponse httpResponse = (HttpServletResponse) response;

            // === 核心安全头部 ===
            // 1. 防止浏览器进行MIME类型嗅探，强制遵守Content-Type
            httpResponse.setHeader("X-Content-Type-Options", "nosniff");
            // 2. 防止页面被嵌入到iframe中，避免点击劫持
            httpResponse.setHeader("X-Frame-Options", "DENY");
            // 3. 启用浏览器的XSS过滤功能，并阻止疑似攻击的页面加载
            httpResponse.setHeader("X-XSS-Protection", "1; mode=block");

            // === 生产环境建议启用的头部 (按需开启) ===
            // 4. HTTP严格传输安全（仅在HTTPS站点启用！）
            // httpResponse.setHeader("Strict-Transport-Security", "max-age=31536000; includeSubDomains");
            // 5. 内容安全策略（根据实际资源引用情况调整，这是最强大的安全策略之一）
            // httpResponse.setHeader("Content-Security-Policy", "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:;");

            // 继续执行后续过滤器链和请求处理
            chain.doFilter(request, response);
        }

        @Override
        public void init(FilterConfig filterConfig) throws ServletException {
            // 初始化逻辑，如果需要的话
        }

        @Override
        public void destroy() {
            // 清理逻辑，如果需要的话
        }
    }
}

五.验证

1. 基础验证：使用cURL命令

# 测试GET请求（默认）
curl -I http://localhost:13100/api/test

# 测试POST请求
curl -I -X POST http://localhost:13100/api/test

# 测试所有HTTP方法（验证安全头是否全面生效）
echo "=== 测试不同HTTP方法的安全头 ==="
for method in GET POST PUT DELETE OPTIONS; do
    echo -n "$method: "
    curl -s -I -X $method http://localhost:13100/api/test | 
    grep -E "HTTP|X-Content-Type|X-Frame|X-XSS"
done

预期输出：

HTTP/1.1 200 OK
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
X-XSS-Protection: 1; mode=block
Content-Security-Policy: default-src 'self'; script-src 'self' ...
Cache-Control: no-cache, no-store, max-age=0, must-revalidate

2. 浏览器开发者工具验证

1. 打开Chrome/Firefox开发者工具（F12）
2. 切换到"Network"（网络）标签
3. 访问应用任意页面或API
4. 点击请求，查看"Response Headers"（响应头）
5. 确认所有安全头都存在且值正确

3. 自动化测试验证（JUnit）

import org.junit.jupiter.api.Test;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.boot.test.autoconfigure.web.servlet.AutoConfigureMockMvc;
import org.springframework.boot.test.context.SpringBootTest;
import org.springframework.test.web.servlet.MockMvc;
import static org.springframework.test.web.servlet.request.MockMvcRequestBuilders.*;
import static org.springframework.test.web.servlet.result.MockMvcResultMatchers.*;

@SpringBootTest
@AutoConfigureMockMvc
public class SecurityHeaderTests {
    
    @Autowired
    private MockMvc mockMvc;
    
    @Test
    public void testSecurityHeadersExist() throws Exception {
        mockMvc.perform(get("/api/public/test"))
            .andExpect(header().exists("X-Content-Type-Options"))
            .andExpect(header().string("X-Content-Type-Options", "nosniff"))
            .andExpect(header().exists("X-Frame-Options"))
            .andExpect(header().string("X-Frame-Options", "DENY"))
            .andExpect(header().exists("X-XSS-Protection"))
            .andExpect(header().string("X-XSS-Protection", "1; mode=block"));
    }
    
    @Test 
    public void testAllMethodsHaveSecurityHeaders() throws Exception {
        // 测试GET
        testMethodHasHeaders(get("/api/test"));
        // 测试POST
        testMethodHasHeaders(post("/api/test"));
        // 测试PUT
        testMethodHasHeaders(put("/api/test/1"));
        // 测试DELETE
        testMethodHasHeaders(delete("/api/test/1"));
    }
    
    private void testMethodHasHeaders(ResultActions requestBuilder) throws Exception {
        requestBuilder
            .andExpect(header().exists("X-Content-Type-Options"))
            .andExpect(header().exists("X-Frame-Options"))
            .andExpect(header().exists("X-XSS-Protection"));
    }
}

六、总结

在宝兰德容器中，通过Servlet过滤器添加安全头是目前最直接、最可靠的方案。YAML文件可以用来配置端口等通用属性，但设置安全头通常无效。