XSS-ESAPI-编码javascript
在其他一些论坛中，提到使用HTML消毒剂。什么是正确的方法，请…
共有1个答案
我不建议任何尚未使用ESAPI的应用程序采用它。由于缺乏积极的开发，ESAPI Java在2014年失去了旗舰地位。这个链接指向一个首席开发人员的博客。据我所知，它确实有其他安全库所没有的东西：检测混合和多重编码。所以权衡一下风险。
如果需要输出编码，请使用esapi编码器项目。每次输出到新的上下文(HTML、Javascript等）时，都需要转义数据。
不过，听起来您的要求是能够允许用户提供的HTML/JavaScript。这是您想要使用HTML消毒剂的地方。
-
为了防止SQL注入，OWASP对接收到的字符进行编码。下面是为org.owasp.esapi.codecs.OracleCodec.java类实现的代码 以上对预防SQL注入有什么帮助？请解释一下。
-
我已经看到了许多堆栈溢出的答案，但它们没有在标准库中提供完整的规范化/编码解决方案，我可以编写静态测试，以确保开发人员正在使用该库。 是否有一个esapi或类似的“轻”库，我可以只用于JavaScript？ 我已经看到了OWASP Esapi和jQuery编码器插件https://github.com/chrisisbeef/jquery-encoder和SalesForce编码器https://
-
我试图防止CRLF注入（在用户输入很少的url中），并试图对url中的用户输入进行编码。我知道我也可以使用输入验证，但如果我使用ESAPI编码器，它是否有相应的解码器？如果它有，那么它是什么？如果不是，那么可以做什么来执行相同的编码和解码？
-
在一个web项目中，我们使用ESAPI验证器来检测XSS攻击。虽然大多数攻击都如预期的那样被检测到，但它无法将下面给定的输入检测为XSS攻击。 浏览器可能会关闭标记本身，从而触发警报功能。 后端是用Java编写的，UI是用JavaScript编写的。使用的反堕胎文件： https://github.com/owasp/ejsf/blob/master/esapi_master_full/antis
-
我在服务器端对JSON进行了编码（使用ESAPI编码器），然后客户机检索bean的字段并进行进一步的处理。 在服务器端 编码的JSON字符串 \x7b\x22name\x22\x3a\x22sameer\x22，\x22company\x22\x3a\x22company\x22，\x22designation\x22\x3a\x22developer\x22\x7d 在客户端