java - 如何使用正则表达式将所有出现的 ${...} 替换为

Question

我有未 protected JSP，其中存在 XSS 漏洞。我需要替换所有 ${...} <c:out value="${...}" /> 中尚未的字符串标记为 <c:out value="${...}" /> .

例如，

<select>
   <option value="${foo}">label</option>
</select>    
${bar}
<c:out value="${message}" />

需要将正则表达式替换为以下内容:

<select>
   <option value="<c:out value="${foo}" />">label</option>
</select>    
<c:out value="${bar}" />
<c:out value="${message}" />

Answer 1

听起来您的起始文本混合了 <c:out value="${...}" />和${...}在里面。如果是这种情况，您可以尝试这样的操作:

str = str.replaceAll(
             "(?:<c:out\\s+value=\")?\\$\\{([^}]*)\\}(?:\"\\s*/>)?", 
             "<c:out value=\"\\${$1}\" />"
      );

我对 Java 正则表达式语法有点生疏，所以请检查一下反斜杠是否正确。否则，我认为这会起作用。