有2種方式

一：在BaseController中定義方法

1. /** 
2.  * 初始化資料繫結 
3.  * 1. 將所有傳遞進來的String進行HTML編碼，防止XSS攻擊 
4.  *  
5.  */
6. @InitBinder
7. protectedvoid initBinder(WebDataBinder binder) {  
8.     // String型別轉換，將所有傳遞進來的String進行HTML編碼，防止XSS攻擊
9.     binder.registerCustomEditor(String.class, new PropertyEditorSupport() {  
10.         @Override
11.         publicvoid setAsText(String text) {  
12.             setValue(text == null ? null : StringEscapeUtils.escapeHtml4(text.trim()));  
13.         }  
14.         @Override
15.         public String getAsText() {  
16.             Object value = getValue();  
17.             return value != null ? value.toString() : 
    "";  
18.         }  
19.     });  
20. }  

二種：定義自己的編輯器

1. publicclass StringEscapeEditor extends PropertyEditorSupport {  
2.     public StringEscapeEditor() {  
3.         super();  
4.     }  
5.     publicvoid setAsText(String text) {  
6.         if (text == null) {  
7.             setValue(null);  
8.         } else {  
9.             String value = text;  
10.             value = StringEscapeUtils.escapeHtml4(value);  
11. //          value = StringEscapeUtils.escapeJavaScript(value);
12. //          value = StringEscapeUtils.escapeSql(value);
13.             setValue(value);  
14.         }  
15.     }  
16.     public String getAsText() {  
17.         Object value = getValue();  
18.         return value != null ? value.toString() : "";  
19.     }  
20.     publicstaticvoid main(String[] args) {  
21.         String xx="'><script>alert(document.cookie)</script>";  
22.         System.out.println(StringEscapeUtils.escapeHtml4(xx));  
23.     }  
24. }  

1. publicclass MyBindingInitializer implements WebBindingInitializer {  
2.     @Override
3.     publicvoid initBinder(WebDataBinder binder, WebRequest request) {  
4.         // 註冊自定義的屬性編輯器。這裡可以註冊多個屬性編輯器
5.         binder.registerCustomEditor(String.class, new StringEscapeEditor());  
6.     }  
7. }  

配置檔案裡註冊下

1. <bean class="org.springframework.web.servlet.mvc.annotation.AnnotationMethodHandlerAdapter">  
2. <property name="webBindingInitializer">    
3.         <bean class="com.bypay.forpay.web.common.MyBindingInitializer"/>    
4.     </property>    
5. </bean>  

其他注意事項：

1. 在Oracle中，如果SQL中有like查詢，若輸入條件為：'><script>alert(document.cookie)</script>  

1. sql的寫法：  

1. 推薦：<if test="dbName == 'oracle'">'%'||#{name}||'%'</if>   

1. 不推薦：<if test="dbName == 'oracle'">and name like '%${merId}%'</if>這種寫法會導致SQL注入問題