java - 是否有任何 ESAPI 替代方案可以进行 SQL 注入(inject)和 XSS 验证

Question

是否有其他方法可以防止 SQL 注入(inject)和 XSS 攻击？我知道ESAPI可以在JAVA 1.5或更高版本上实现，我的项目是在JAVA 1.4上，需要实现ESAPI，防止SQL注入(inject)和XSS攻击，任何其他JAVA 1.4的替代库也有帮助。

Answer 1

Is there any other alternative for preventing the SQL injection and XSS attacks ?

SQL:Java PreparedStatements从 1.2 开始就存在了。作为 ESAPI-java-legacy 存储库的共同所有者，您应该使用它们而不是 ESAPI 来进行适当的防御。 ESAPI提供的SQL转义技术只是为了救急，最终被参数化查询所取代。

XSS:我不会信任任何一个。我非常确定 apache commons StringEscapeUtils 依赖于具有已知漏洞的库。

my project is on JAVA 1.4 and need to implement the ESAPI, preventing from SQL injection and XSS attacks, any other alternative libraries for JAVA 1.4 is also helpful.

好吧，下一个版本有望在 2017 年 9 月底发布，该版本将停止支持 Java 1.6。 ESAPI 1.4 版本仍可能与 1.4 一起使用，其中已知的 CVE 永远不会被修复。 ESAPI 在 1.4 版本时是世界上唯一一个做到这一点的公共(public)图书馆。

顺便说一句:任何仍在生产中的旧应用程序可能存在比 ESAPI 这样的库可以修复的更严重的问题。