java - 如何实现Java ESAPI来防止XSS？

Question

我读过很多文章，其中 ESAPI for Java 可用于通过使用 Validator 来防止 XSS & Encoder 。顺便说一句，我正在使用 Eclipse。我没有使用 Maven 也没有使用 Spring。

我的问题是:

1. 如何实现Java ESAPI来防止XSS？
2. 除了在构建路径中添加 ESAPI jar 之外，还需要其他配置吗？

预先感谢您的回答。

Answer 1

防止 XSS 有一些技巧。 validator 允许您定义要接受/拒绝的输入字符。但也存在不同上下文的概念，这就是 Encoder 类的用武之地。在您的职业生涯中，有时您将被迫接受字符作为可用于攻击浏览器的输入。

基本的ESAPI实现是这样的:根据白名单拒绝输入字符。根据输出上下文使用编码器实现...在做出关于“我首先编码 HTML 还是首先编码 Javascript？这两者中的任何一个都会对您的应用程序产生影响，并且它们需要根据您的应用程序的需求来决定。例如，我有一些应用程序要求用户输入有效的 Javascript...在这些情况下，您需要非常小心。

回答第二部分:是的。现在您可能知道，ESAPI 需要定义两个属性文件...validation.properties 和 esapi.properties。您可以自己将它们编译到 jarfile 中(这需要您学习 Maven，所以可能不需要...)或使用标准 -Dmy.property 语法在运行时指定 java 位置。加载异常实际上会引导您走上正确的道路。