我們可以在ESAPI驗證器方法中使用黑名單嗎？

我們正在嘗試爲我們的jsp web應用程序實現xss修復。我們已經使用了ESAPI.validator.getValidInput方法。但是這會從屬性文件中獲取白名單。我的問題是，ESAPI中是否也有黑名單？在我們的Web應用程序中，使用了許多特殊字符，並允許一些國際語言作爲輸入，因此在這裏找到whilelist字符非常複雜。我想知道這種方法是正確的（使用esapi.validator.getvalidate並使用白名單），或者不在這種情況下。我們可以在ESAPI驗證器方法中使用黑名單嗎？

來源

2014-09-02 arivarasu b

不，黑名單不受支持。根據Validator接口定義：

「實現必須採用」白名單「方法來驗證特定模式或字符集匹配的位置。嘗試識別無效或不允許字符的」黑名單「方法更可能允許帶編碼或其他技巧的旁路「。

https://owasp-esapi-java.googlecode.com/svn/trunk_doc/latest/org/owasp/esapi/Validator.html

來源

2014-09-11 20:55:45 Bradski

我們可以在ESAPI驗證器方法中使用黑名單嗎？

回答

相關問題