通过替换 '>', '<' 形成安全性人物

Question

我使用 JSP 创建了一个 Web 表单，为了防止攻击，我执行了以下操作：

input.replace("<", "something else");
input.replace(">", "something else");

这样用户就无法在表单中添加 HTML 或其他标签。

这是否足以防止此类攻击（在其中插入 HTML 或其他标签） 我的网站）？

感谢您 JH。 G。

Answer 1

简而言之，不。我建议您查看 ESAPI 项目。他们内置了 HTML 编码请求和响应的工具，以防止 XSS 攻击。

Answer 2

这并不完全是正确的方法。它不仅不完整，如 '、" 和 & 也 需要转义，但您实际上应该使用 JSTL 或 fn:escapeXml() 到在视图端转义 HTML/XML 实体

例如

<c:out value="${bean.value}" />
<input type="text" name="foo" value="${fn:escapeXml(param.foo)}" />

，另请参阅：

• JSP/Servlet Web 应用程序中的 XSS 预防