Metodo consigliato per l'escape dell'HTML in Java

Question

Esiste un modo consigliato di sfuggire a <, , " e & caratteri durante l'emissione di codice HTML in codice Java semplice? (Oltre a fare manualmente quanto segue, cioè).

String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML"; 
String escaped = source.replace("<", "&lt;").replace("&", "&amp;"); // ... 

Answer 1

StringEscapeUtils da Apache Commons Lang:

import static org.apache.commons.lang.StringEscapeUtils.escapeHtml; 
// ... 
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML"; 
String escaped = escapeHtml(source); 

Per version 3:

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4; 
// ... 
String escaped = escapeHtml4(source); 

Answer 2

Un'alternativa alla Apache Commons: Usa Spring s' HtmlUtils.htmlEscape(String input) metodo.

Answer 3

Per alcuni scopi, HtmlUtils:

import org.springframework.web.util.HtmlUtils; 
[...] 
HtmlUtils.htmlEscapeDecimal("&")` //gives & 
HtmlUtils.htmlEscape("&")` //gives & 

Answer 4

Esiste una versione più recente del Apache Commons Lang library e utilizza un nome di pacchetto diverso (org.apache.commons.lang3). Lo StringEscapeUtils ora ha diversi metodi statici per l'escape di diversi tipi di documenti (http://commons.apache.org/proper/commons-lang/javadocs/api-3.0/index.html). Quindi per evitare la stringa HTML versione 4.0:

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4; 

String output = escapeHtml4("The less than sign (<) and ampersand (&) must be escaped before using them in HTML"); 

Answer 5

Prestare attenzione a questo. Esistono diversi "contesti" all'interno di un documento HTML: all'interno di un elemento, il valore dell'attributo quotato, il valore dell'attributo non quotato, l'attributo URL, javascript, CSS, ecc. Dovrai utilizzare un metodo di codifica diverso per ciascuno di questi per prevenire Cross-Site Scripting (XSS). Controllare il foglio cheat di prevenzione di OWASP XSS per i dettagli su ciascuno di questi contesti - https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet. È possibile trovare i metodi di escaping per ciascuno di questi contesti nella libreria ESAPI OWASP - https://github.com/ESAPI/esapi-java-legacy.

Answer 6

su Android (API 16 o superiore) è possibile:

Html.escapeHtml(textToScape); 

o inferiore API:

TextUtils.htmlEncode(textToScape); 

Answer 7

Mentre @dfa risposta di org.apache.commons.lang.StringEscapeUtils.escapeHtml è bello e ho usato in passato non dovrebbe essere usato per l'escape di attributi HTML (o XML) altrimenti lo spazio bianco verrà normalizzato (ovvero tutti i caratteri spazi bianchi adiacenti diventeranno un singolo spazio).

Lo so perché ho avuto bug archiviati contro la mia libreria (JATL) per gli attributi in cui lo spazio non è stato conservato. Così ho un calo (copia e incolla) class (of which I stole some from JDOM) that differentiates the escaping of attributes and element content.

Anche se questo potrebbe non aver avuto importanza in passato (corretta attribuzione di escape) è sempre più di maggiore interesse, dato l'uso dell'uso degli attributi di HTML5 data-.

Answer 8

Nizza metodo breve:

public static String escapeHTML(String s) { 
    StringBuilder out = new StringBuilder(Math.max(16, s.length())); 
    for (int i = 0; i < s.length(); i++) { 
     char c = s.charAt(i); 
     if (c > 127 || c == '"' || c == '<' || c == '>' || c == '&') { 
      out.append("&#"); 
      out.append((int) c); 
      out.append(';'); 
     } else { 
      out.append(c); 
     } 
    } 
    return out.toString(); 
} 

Sulla base https://stackoverflow.com/a/8838023/1199155 (l'amplificatore manca lì).I quattro personaggi controllato nella clausola if sono gli unici sotto 128, secondo http://www.w3.org/TR/html4/sgml/entities.html

Answer 9

Per coloro che utilizzano Google Guava:

import com.google.common.html.HtmlEscapers; 
[...] 
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML"; 
String escaped = HtmlEscapers.htmlEscaper().escape(source);