如何实现防止XSS的Java ESAPI？

Question

1. 如何实现防止XSS的Java ESAPI？
2. 除了在构建路径中添加ESAPI jar之外，还需要其他配置吗？

提前感谢您的回答。

Answer 1

防止XSS有一些诡计。验证器允许您定义要接受/拒绝的输入字符。但也有不同上下文的概念，这就是编码器类的用处。在你的职业生涯中，会有这样的情况，你将被迫接受字符作为可以用来攻击浏览器的输入。

基本的ESAPI实现如下所示：根据白名单拒绝输入字符。根据输出上下文使用编码器实现...当决定“我是先为HTML编码，还是先为Javascript编码？”时，技巧部分就出现了，这两种都可能对应用程序产生影响，需要根据应用程序的需要来决定它们。例如，我有过一些应用程序要求用户输入有效的Javascript...在这些情况下，你需要非常小心。

回答第二部分：是的。到目前为止，您可能知道ESAPI，需要定义两个属性文件······properties和esapi.properties。您可以自己将它们编译到jarfile中（这需要您学习maven，所以可能不需要...）或者在运行时使用标准的-dmy.property语法指定java位置。加载异常实际上将您引导到正确的路径。