如何使用Struts防止XSS漏洞

Question

我們需要在我們的Struts應用程序中添加反XSS支持。 最特別的是，架構師要求所有用戶輸入必須先進行“清理”，然后再存儲在數據庫中。 由於我不想重新發明方形齒輪，因此我可以使用哪個Java庫？ 放在哪里？ 理想情況下，它應該是可配置的（要檢查哪些輸入字段，而不是所有字段都在請求中）並且快速。 我的第一個想法是Struts Validator。

在此先感謝Lluis

Answer 1

我建議您研究OWASP的ESAPI項目 。 它已經開發了一年多，並且正在接近其2.0版本。

要轉義存儲在數據庫中的值，請檢出Encoder.encodeForSQL（）方法（ 參考實現 ）。

對於輸入驗證，請簽出Validator（ 參考實現 ）。

注意：我的理解是，ESAPI中包含了較舊項目（例如Stinger和CSRFGuard）提供的功能。

Answer 2

如果您SEACH谷歌的XSS過濾器的Java，你會想出許多開源解決方案，比如這一個 。

您還可以查看OWASP驗證項目 。