java - OWASP Java Encoder Project 会逃避所有 XSS 吗？

Question

OWASP Java Encoder Project 会逃避所有的 XSS 吗？通过方法

Encode.forHtmlContent(value)
Encode.forJavaScript(value)
Encode.forXml(value)

还是使用其他解决方案更好？

对于 Java 应用，您建议使用哪种 OWASP 解决方案？

Answer 1

ESAPI is no longer a flagship project for OWASP.自 2013 年以来一直没有发布，这意味着该项目已过时。

如果你只需要输出转义，use the encoder project.那个是维护的。

没有任何一种解决方案可以保证清除所有 XSS。您必须允许聪明的攻击者能够利用 HTML 清理程序中的错误。