当 JSTL escapeXml 为 false 时如何防止 JavaScript 注入 (XSS)

Question

我有一个表格，人们可以添加他们的东西。然而，在这种形式下，如果他们输入 JavaScript 而不仅仅是文本，他们就可以轻松地注入他们想做的任何事情。为了防止这种情况，我可以将 escapeXml 设置为 true，但是普通的 HTML 也会被转义。

<td><c:out value="${item.textValue}" escapeXml="true" /></td>

除了将其设置为 true 之外，还有其他方法可以防止 JavaScript 注入吗？

Answer 1

我建议使用 Jsoup 。以下是来自其网站的相关摘录。

清理不受信任的 HTML

问题

您希望允许不受信任的用户提供 HTML 以在您的网站上输出（例如作为评论提交）。您需要清理此 HTML 以避免跨站脚本 (XSS) 攻击。< /p>

解决方案

使用 jsoup HTML Cleaner 使用 白名单.

字符串不安全 = 
      "
链接
";
String safe = Jsoup.clean(unsafe, Whitelist.basic());
      // 现在：
链接

因此，在处理提交的文本期间，您基本上需要做的就是以下操作：

String text = request.getParameter("text");
String safe = Jsoup.clean(text, Whitelist.basic());
// Persist 'safe' in DB instead.

Jsoup 还提供了更多优势。另请参阅 HTML 解析器的优点和缺点在Java中。

Answer 2

您需要将服务器上的 HTML 文本解析为 XML，然后丢弃不在严格白名单中的任何标记和属性。
（并检查 href 和 src 属性中的 URL）

Answer 3

这正是 OWASP AntiSamy 项目 的目的。

OWASP AntiSamy 项目有很多内容。从技术上讲，它是一个 API，用于确保用户提供的 HTML/CSS 符合应用程序的规则。另一种说法可能是：它是一个 API，可以帮助您确保客户端不会在他们为个人资料、评论等提供的 HTML 中提供恶意货物代码，这些代码会保留在服务器上。关于 Web 应用程序的术语“恶意代码”通常指的是“JavaScript”。级联样式表仅在调用 JavaScript 引擎时才被视为恶意。然而，在很多情况下，“正常”的 HTML 和 CSS 可能会被恶意使用。所以我们也会处理这个问题。

另一种选择是 OWASP HTMLSanitizer 项目。它速度更快，依赖性更少，并且目前得到了项目负责人的积极支持。我认为它尚未经历任何 GA/稳定版本，因此您在评估此库时应该考虑这一点。