HTML-Entity 转义以防止 XSS

html escaping java xss owasp

2022-09-03 09:30:43

我有一些用户输入。在我的代码中，我确保对以下符号进行转义：

& -> &amp; 
< -> &lt; 
> -> &gt;

OWASP 指出，还有更多字符需要转义。

对于属性，我执行另一种转义：

& -> &amp; 
" -> &quot;

这可确保所有属性都包含在 “.这让我确信我的html属性，但不是HTML本身。

我想知道我的逃避是否足够。我已经阅读了这篇文章，但我仍然不确定我的担忧。

（JavaScripts通过OWASP-Library转义）

答案 1

我也使用OWASP（ESAPI）库，为不同类型的显示转义字符串，请使用：

String html = ESAPI.encoder().encodeForHTML("hello < how > are 'you'");
String html_attr = ESAPI.encoder().encodeForHTMLAttribute("hello < how > are 'you'");
String js = ESAPI.encoder().encodeForJavaScript("hello < how > are 'you'");

HTML （assume jsp）

<tag attr="<%= html_attr %>" onclick="alert('<%= js %>')"><%= html %></tag>

更新（2017）)

由于ESAPI编码器被认为是遗留的，因此已经创建了更好的替代方案并且正在积极维护，我强烈建议使用OWASP Java编码器。

如果您的项目已使用，则已添加集成，允许您改用此库进行编码。ESAPI

用法在他们的wiki页面上进行了解释，但为了完成起见，您可以使用它来对数据进行上下文编码：

// HTML Context
String html = Encoder.forHtml("u<ntrus>te'd'");

// HTML Attribute Context
String htmlAttr = Encoder.forHtmlAttribute("u<ntrus>te'd'");

// Javascript Attribute Context
String jsAttr = Encoder.forJavaScriptAttribute("u<ntrus>te'd'");

HTML （assume jsp）

<div data-attr="<%= htmlAttr %>" onclick="alert('<%= jsAttr %>')">
    <%= html %>
</div>

PS：存在更多上下文，并且受库支持

答案 2

我建议你使用Appache Common Lang库来转义字符串，以便exmaple转义HTML：

String escapedString = org.apache.commons.lang.StringEscapeUtils.escapeHtml(String str);

该库有许多有用的方法可以在HTML，XML，Javascript中转义。