Java - XSS - HTML 编码 - 字符实体引用与数字实体引用

Question

我们一直在寻找对我们的 JSP 页面进行 HTML 编码以对抗 XSS 的方法。

OWASP 站点显示 How_to_perform_HTML_entity_encoding_in_Java

这篇文章讨论了对“Big 5”进行编码的实体，即

  21          {"#39", new Integer(39)}, // ' - apostrophe
  22          {"quot", new Integer(34)}, // " - double-quote
  23          {"amp", new Integer(38)}, // & - ampersand
  24          {"lt", new Integer(60)}, // < - less-than
  25          {"gt", new Integer(62)}, // > - greater-than

即

<script>

编码为

  <script>

但文章中包含的 Java 代码示例使用数字引用编码，即

<script></script>

被编码为

 <script></script>

是否有使用字符引用而不是实体引用的原因？哪个最好，为什么？

Answer 1

就保护您自己免受 XSS 攻击而言，它们是相同的。唯一真正的实际差异是可读性和大小。