java - 如何清理输入

Question

当用户在 Tomcat Web 应用程序中提交表单时，我愿意使用“OWASP ESAPI for Java”来净化用户输入。

我曾经像这样使用 org.apache.commons.lang.StringEscapeUtils:

public static String myEscapeHtml(String s)
{
    String s_escapedString = null;       
    s_escapedString = StringEscapeUtils.escapeHtml(s);
    return s_escapedString;
}

我不知道这是否足以“合理地”保护 web 应用程序......

我想知道我应该编写哪些代码行来使用 OWASP ESAPI 来清理 Tomcat webapp 用户输入。

您能否举一个例子，其中一个或多个 ESAPI“过滤器”(转义？编码？...)将应用于字符串以对其进行清理？

后端 RDBMS 是 PostgreSQL。

Tomcat 服务器可以在 Linux 服务器或 Windows 服务器上运行。

谢谢你，并致以最诚挚的问候。

Answer 1

对于输入验证，您将使用 org.owasp.esapi.reference.DefaultValidator.

如果您想在 validation.properties 中定义您自己的验证规则，可以在 this question 的答案中演示执行该操作的技术。 .

对于输出转义，这实际上要容易得多。最好在将数据插入将发送到表示层的对象时，您需要使用 String output = ESAPI.encoder().escapeForHTML(String s); 方法。

完整的方法列表在 org.owasp.esapi.Encoder 中定义。 .