Fuga tutte le stringhe in JSP/Spring MVC

Question

ho visualizzare le stringhe nel mio JSP questo modo:

${someString} 

questa stringa può, naturalmente, contenere caratteri speciali html. Attualmente è possibile inserire codice dannoso in HTML (ad esempio se someString è un javascript include - <script src...>).

Come posso essere sicuro che tutte le stringhe siano sfuggite prima della stampa?

Sto utilizzando Spring MVC e JSP.

Answer 1

È possibile utilizzare JSTL core:

<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %> 

Usa <c:out value="${someString}"/> tag per visualizzare le stringhe. <c:out> fugge i caratteri HTML in modo da poter evitare lo scripting cross-site, è possibile specificarlo impostando l'attributo escapeXml=true. Un altro vantaggio è che è anche possibile fornire un valore predefinito nel caso in cui lo value valuti su null.

È inoltre possibile utilizzare la funzione fn:escapeXml() EL. È necessario includere JSTL functions per quello.

<%@ taglib prefix="fn" uri="http://java.sun.com/jsp/jstl/functions" %> 

Un altro modo possibile, verrà creato un numero personalizzato ELResolver.

Abilita la personalizzazione del comportamento di risoluzione delle proprietà e delle variabili per la valutazione delle espressioni EL.

This blog fornisce un esempio funzionante di come può essere fatto.

---

Per tutta la Spring MVC app, è possibile specificare la fuga nel web.xml:

<context-param> 
    <param-name>defaultHtmlEscape</param-name> 
    <param-value>true</param-value> 
</context-param> 

Ma poi la fuga si applica solo ai spring tag, come:

<form:input path="formField" htmlEscape="true" /> 

Infine, è possibile provare la libreria di terze parti XSSFilter.

Answer 2

È inoltre possibile controllare questo comportamento a livello di pagina utilizzando <spring:htmlEscape defaultHtmlEscape="true" />

Answer 3

in JSP/Java È consigliabile utilizzare questo codice:

In JSP/HTML:

<c:out value="TR tag </tr> Script Tag <script>alert("hello Rahul")</script>" escapeXml="true" />