Я ищу набор хороших практик для обеспечения безопасности HTML-дескриптор формы

Question

В моем веб-приложении ввод из html-форм направляется в базу данных, а затем в html (например, форумы или комментарии).

Я хочу знать, как мне защитить мое веб-приложение?Какие символы (теги html) я должен удалить из текстовой области?

Мое веб-приложение в Spring MVC, но правила могут быть более общими.

Answer 1

Если вы используете

<c:out value="text" />

основной тег он будет экранировать символы и не будет интерпретироваться как HTML-код. У него есть атрибут escapeXml, который может быть истинным или ложным для экранирующих символов, но по умолчанию он истинен.