XSS 防护中的请求装饰
在 Web 开发中，有时需要对用户输入进行过滤以防止跨站脚本攻击 (XSS)。一种常见的方法是使用过滤器装饰请求对象，但有人不禁疑惑，仅调用构造方法而没有使用实际的方法时，如何实现 XSS 防护。
答案的关键在于过滤器链的执行顺序。虽然在装饰请求时本身没有调用任何方法，但装饰后的请求对象会被传给过滤器链中的下一个过滤器。
每个过滤器都会处理请求，执行自己的逻辑并可能修改请求。如果任何过滤器检测到 XSS 攻击，它可以相应地采取措施，例如清除恶意输入。
当所有过滤器执行完毕后，Action 中接收到的请求已经是一个装饰过的类型。即使没有在装饰后的请求中直接调用 getXHeader 等方法，XSS 防护仍然有效，因为任何后续操作都将基于装饰过的请求，其中已过滤掉恶意输入。
你可以尝试在过滤器链中添加一个断点，观察请求对象在通过每个过滤器时如何变化。这将更清晰地展示装饰请求如何在过滤器链中实现 XSS 防护。
