java - Struts如何防止XSS漏洞

Question

我们需要在我们的 Struts 应用程序中添加反 XSS 支持。最具体地说，架构师要求所有用户输入在存储到数据库之前必须经过“清理”。由于我不想重新发明方轮，我可以为此使用哪个 Java 库？放在哪里？理想情况下，它应该是可配置的(要检查哪些输入字段，而不是请求的所有字段)并且速度快。我的第一个想法是 Struts validator 。

提前致谢路易斯

Answer 1

我建议您查看 OWASP 的 ESAPI project .它已经开发了一年多，即将发布 2.0。

对于存储在数据库中的转义值，请查看 Encoder.encodeForSQL() 方法 ( reference implementation )。

对于输入验证，请检查 validator ( reference implementation )。

注意:我的理解是旧项目(如 Stinger 和 CSRFGuard)提供的功能正在包含在 ESAPI 中。