Spring Security巧妙运用Request包装器实现XSS防护的机制详解
许多开发者对Spring Security等框架如何通过Request包装器实现XSS防护感到疑惑。一个常见问题是：仅仅通过Request对象的包装和构造方法初始化，就能完成XSS防护？代码中似乎没有直接调用XssHttpServletRequestWrapper的getHeader等方法进行过滤，这是为什么？
关键在于，XSS防护并非在XssHttpServletRequestWrapper的构造方法中直接完成，而是在后续的过滤器链中，通过替换Request对象来实现。
代码中的chain.doFilter(request, response);至关重要。它将包装后的Request对象传递给过滤器链的下一个过滤器。这个包装后的Request对象已替换原始Request对象。
这意味着，后续过滤器和最终的Action层获取到的Request对象，实际上都是XssHttpServletRequestWrapper的实例。当这些组件调用getHeader、getParameter等方法时，实际调用的是XssHttpServletRequestWrapper中重写的方法，这些方法会对获取的数据进行XSS过滤。
因此，XSS防护并非在XssHttpServletRequestWrapper的构造方法中直接完成，而是在过滤器链的后续环节，通过重写的方法完成XSS过滤。通过断点调试，可以验证Request对象的类型和内容在过滤器链不同阶段的变化。这体现了装饰器模式在实际应用中的精妙之处。
