java - XSS攻击: Alternative to OWASP?

Question

除了 OWASP XSS 过滤软件之外，还有其他方法可以防止 XSS 攻击吗？如果可以在 apache 级别进行阻止，我需要建议。我不是安全专家，因此需要详细信息。感谢您的帮助

Answer 1

当数据向最终用户显示时，表示层会出现 XSS 问题。因此，在 apache 级别防止这种情况并不是一个有效的方法。

OWASP ESAPI 是一个库(不是过滤器软件)，它提供 XSS 保护作为 API 以在表示层中对数据进行编码。每当要显示受用户输入影响的内容时，都应应用正确的编码。例如，OWASP XSS prevention Cheat Sheet有以下 Javascript 上下文示例:

String safe = ESAPI.encoder().encodeForJavaScript( request.getParameter( "input" ) );

这一个用于“HTML 属性”上下文:

String safe = ESAPI.encoder().encodeForHTMLAttribute( request.getParameter( "input" ) );

正确的编码取决于当前上下文(html、html 属性、javascript 等)

如果您不想使用 OWASP 库，您可以使用其他库(例如 apache.commons.StringEscapeUtils)进行编码。但您需要非常小心地根据您的情况选择正确的方法。