Безопасность формы путем замены символов «>», «<»

Question

я создаю веб-форму с JSP, и для предотвращения атак я делаю следующее:

input.replace("<", "something else");
input.replace(">", "something else");

, чтобы пользователь не мог добавить HTML или другие теги внутри формы.

Этодостаточно, чтобы предотвратить атаки такого рода (вставки HTML или других тегов на мой сайт) ??

Спасибо, JH.G.

Answer 1

Короче, нет.Я рекомендую вам проверить проект ESAPI для этого.Они встроили инструменты для кодирования запросов и ответов в формате HTML, чтобы предотвратить атаки XSS.

Answer 2

Это не совсем правильный путь.Это не только неполно, поскольку ', " и & также необходимо экранировать , но вы должны использовать JSTL <c:out> или fn:escapeXml() для выходаОбъекты HTML / XML на стороне представления.

Например,

<c:out value="${bean.value}" />
<input type="text" name="foo" value="${fn:escapeXml(param.foo)}" />

См. Также:

• XSS-предотвращение в веб-приложении JSP / Servlet