java - 如何使用 OWASP 编码器项目规范化内容

Question

为了逃避跨站点脚本攻击，我必须清理 html内容。以前我使用 Esapi 编码器规范化如下:

ESAPI.encoder().canonicalize(content);

这个项目的最后一次更新是在 3 年前，所以我想更新到他们的新项目“OWASP Encoder Project”。

但我没有找到如何使用它来清理我的内容的方法？例如，之前当我对 "%3Cscript%3E" i would get back "<script>" 等内容运行 canonicalize 方法时，但是现在，无论我使用哪种编码器，它都不能完成相同的工作，也许我错过了一些东西？

Answer 1

ESAPI 2.2.0.0-RC2 版本已经可用；试一试。 RC3 版本应该会在接下来的几天内发布。 (目前我正在等待 ESAPI 贡献者的一些评论。)我预计 2.2.0.0 版本将于 2019 年 6 月底之前发布。我们从未真正停止支持它；我们一直在努力。只是花了很长时间才弄清楚如何使用 Maven 魔法来正确上传版本。

-kevin wall，ESAPI 项目联合负责人