如何使用Struts防止XSS漏洞

Question

我們需要在我們的Struts應用程序中添加反XSS支持。最具體地說，架構師要求所有的用戶輸入必須在存儲到數據庫之前被「消毒」。由於我不想重塑方形輪，我可以使用哪種Java庫？並把它放在哪裏？理想情況下，它應該是可配置的（哪些輸入字段檢查，而不是請求中的所有字段）並且快速。我的第一個想法是Struts驗證器。

在此先感謝 聖路易斯

Answer 1

如果SEACH谷歌的XSS過濾器的Java，你會想出許多開源解決方案，如本one。你可以看看OWASP validation project。

Answer 2

我建議你看看OWASP的ESAPI project。它已經開發了一年多了，正在接近2.0版本。

對於轉義存儲在數據庫中的值，請查看Encoder.encodeForSQL（）方法（reference implementation）。

對於輸入驗證，請查看驗證器（reference implementation）。

注意：我的理解是，舊版項目（如Stinger和CSRFGuard）提供的功能正在包含在ESAPI中。