在 Clojure/Compojure 中转义/清理用户输入

Question

我正在使用 Clojure/Ring/Compojure-0.4/Enlive 堆栈来构建 Web 应用程序。

此堆栈中是否有函数可以剥离 HTML 或 HTML 编码（即 为 <a>）用户提供的字符串为了防止XSS攻击？

Answer 1

hiccup 中的 hiccup.util/escape-html 可以做到这一点。该函数曾经位于 Compojure 本身中（因为 hiccup 中的所有功能都曾经是 Compojure 的一部分）。这是一个足够简单的函数，您可以轻松地自己编写。

(defn escape-html
  "Change special characters into HTML character entities."
  [text]
  (.. #^String (as-str text)
    (replace "&" "&")
    (replace "<" "<")
    (replace ">" ">")
    (replace "\"" """)))

还有 clojure.contrib.string/escape，它采用 char -> 的映射。字符串转义序列和字符串并为您转义它。

user> (clojure.contrib.string/escape {\< "<" \> ">"} "<div>foo</div>")
"<div>foo</div>"

这让我觉得没有那么有用，因为你可能想转义多字符序列，而这不会让你这么做。但它可能适合您的 HTML 转义需求。

当然，还有许多用于此目的的 Java 库。您可以使用 Apache Commons 中的 StringEscapeUtils

(org.apache.commons.lang.StringEscapeUtils/escapeHtml4 some-string)

：不过，我觉得这个目的有点重量级。

Answer 2

更新：我知道一定不止这些...

来自 ring-core 的 ring.util.codec 有一个名为 which work 的函数像这样：

user> (require '[ring.util.codec :as c])
nil
user> (c/url-encode "<a>")
"%3Ca%3E"
user> (c/url-decode "<a>")
"<a>"

这些是 java.net.URLEncoder 和 java.net.URLDecoder 的包装器。相同的命名空间提供了基于 Apache Commons 中的类来处理 Base64 编码的函数。

---

原始答案如下。

我不确定是否有公共函数可以执行此操作，但 Enlive 有两个名为 xml-str 的私有函数和 attr-str 执行此操作：（

(defn- xml-str
 "Like clojure.core/str but escapes < > and &."
 [x]
  (-> x str (.replace "&" "&") (.replace "<" "<") (.replace ">" ">")))

attr-str 也转义 "。）

您可以使用 @# 获取该函数'net.cgrand.enlive-html/xml-str （Clojure 并不倾向于使事情真正私有...）或者只是将其复制到您自己的命名空间。

Answer 3

事实证明，如果您使用 net.cgrand.enlive-html/content 将文本放入 HTML 元素，Enlive 默认情况下会转义 HTML。

(sniptest "<p class=\"c\"></p>" [:.c] (content "<script></script>"))
"<p class=\"c\"><script></script></p>"