java - Java中的XSS清理

Question

我有一段代码可以清理字符串符号“<”和“>”以应对 XSS 攻击。您是否在下面的代码片段中看到有人可以破解这两个符号的代码的任何点？我知道 XSS 还有很多需要清理的地方，并且有标准库。但是我们预计下面的代码片段会出现任何失败/损坏吗？也从编码/字符集的角度思考。请查看并提出建议。

我们也可以使用替换，但这是已经编写的代码，我必须破坏它。

String next=""; //this will be a html get request param

final StringBuffer sb = new StringBuffer();
for (int i = 0; i < next.length(); ++i) {
  final char ch = next.charAt(i);

  if (ch == '<') {
    sb.append("&lt;");
  } else if (ch == '>') {
    sb.append("&gt;");
  } else {
    sb.append(ch);
  }
}

Answer 1

一种可能的攻击是:

&#0000060

这个标志也是一个<，需要更换。

事实上，我建议不要自己编写替换内容。使用ESAPE by OWASP或commons-lang from apache .