Request包装：巧妙抵御XSS攻击
Web安全至关重要，而XSS（跨站脚本攻击）是常见的安全隐患。本文深入探讨利用Request包装实现XSS防护的机制，并解答一个关键问题：为什么简单的Request包装就能有效防御XSS？
场景：开发者使用自定义的XssHttpServletRequestWrapper类包装原始Request对象，但疑问在于，仅调用构造方法，未显式调用getHeader等方法进行过滤，XSS防护是如何实现的？代码只显示构造方法调用，未见对getHeader等方法的直接调用，这与预期的XSS过滤机制似乎不符。
关键在于代码中的chain.doFilter(request, response); 这行代码。它将包装后的Request对象传递给过滤器链中的下一个过滤器。这意味着后续过滤器和最终的Action处理方法接收到的不再是原始Request，而是经过XssHttpServletRequestWrapper包装后的对象。这个包装对象重写了getHeader等方法，并在这些方法中实现了XSS过滤逻辑。
因此，即使在XssHttpServletRequestWrapper的构造方法中没有显式过滤，但所有后续处理都使用包装后的Request对象，其重写的方法会在获取请求头、参数等信息时自动执行XSS过滤。只有后续过滤器中开发者再次使用原始Request对象（即“解包”），XSS防护才会失效。通过断点调试，可在Action中观察到获取到的Request对象正是包装后的类型，从而验证此机制。
