Phương pháp được khuyến nghị để thoát HTML trong Java

Question

Có cách nào được khuyến nghị để thoát các ký tự <, >, " và & khi xuất HTML trong mã Java thuần túy không? (Khác hơn là làm theo cách thủ công như sau, nghĩa là).

String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML"; 
String escaped = source.replace("<", "&lt;").replace("&", "&amp;"); // ... 

Answer 1

StringEscapeUtils từ Apache Commons Lang:

import static org.apache.commons.lang.StringEscapeUtils.escapeHtml; 
// ... 
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML"; 
String escaped = escapeHtml(source); 

Đối version 3:

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4; 
// ... 
String escaped = escapeHtml4(source); 

Answer 2

Một thay thế cho Apache Commons: HtmlUtils.htmlEscape(String input) phương pháp sử dụng Spring 's.

Answer 3

Đối với một số mục đích, HtmlUtils:

import org.springframework.web.util.HtmlUtils; 
[...] 
HtmlUtils.htmlEscapeDecimal("&")` //gives & 
HtmlUtils.htmlEscape("&")` //gives & 

Answer 4

Có một phiên bản mới hơn của Apache Commons Lang library và nó sử dụng tên gói khác (org.apache.commons.lang3). StringEscapeUtils hiện có các phương pháp tĩnh khác nhau để thoát các loại tài liệu khác nhau (http://commons.apache.org/proper/commons-lang/javadocs/api-3.0/index.html). Vì vậy, để thoát chuỗi HTML phiên bản 4.0:

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4; 

String output = escapeHtml4("The less than sign (<) and ampersand (&) must be escaped before using them in HTML"); 

Answer 5

Hãy cẩn thận với điều này. Có một số ngữ cảnh khác nhau trong một tài liệu HTML: Bên trong một phần tử, giá trị thuộc tính được trích dẫn, giá trị thuộc tính unquoted, thuộc tính URL, javascript, CSS, v.v ... Bạn sẽ cần sử dụng một phương thức mã hóa khác cho mỗi những điều này để ngăn chặn Script-Cross-Site (XSS). Kiểm tra Bảng gian lận ngăn chặn XSS của OWASP để biết chi tiết về từng ngữ cảnh này - https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet. Bạn có thể tìm các phương thức thoát cho mỗi ngữ cảnh trong thư viện OWASP ESAPI - https://github.com/ESAPI/esapi-java-legacy.

Answer 6

trên Android (API 16 hoặc cao hơn), bạn có thể:

Html.escapeHtml(textToScape); 

hoặc cho API thấp:

TextUtils.htmlEncode(textToScape); 

Answer 7

Trong khi @dfa câu trả lời của org.apache.commons.lang.StringEscapeUtils.escapeHtml là tốt đẹp và tôi đã sử dụng nó trong quá khứ không nên sử dụng nó để thoát HTML (hoặc XML) các thuộc tính nếu không khoảng trắng sẽ được chuẩn hóa (nghĩa là tất cả các ký tự trắng khoảng trắng liền kề sẽ trở thành một khoảng trắng).

Tôi biết điều này vì tôi đã có lỗi được gửi vào thư viện của tôi (JATL) cho các thuộc tính trong đó khoảng trắng không được giữ nguyên. Vì vậy, tôi có một giọt (copy n 'paste) class (of which I stole some from JDOM) that differentiates the escaping of attributes and element content.

Mặc dù điều này có thể không quan trọng nhiều trong quá khứ (thoát thuộc tính thích hợp) nhưng nó ngày càng trở nên quan tâm nhiều hơn đến việc sử dụng sử dụng thuộc tính data- của HTML5.

Answer 8

đẹp phương pháp ngắn:

public static String escapeHTML(String s) { 
    StringBuilder out = new StringBuilder(Math.max(16, s.length())); 
    for (int i = 0; i < s.length(); i++) { 
     char c = s.charAt(i); 
     if (c > 127 || c == '"' || c == '<' || c == '>' || c == '&') { 
      out.append("&#"); 
      out.append((int) c); 
      out.append(';'); 
     } else { 
      out.append(c); 
     } 
    } 
    return out.toString(); 
} 

Dựa trên https://stackoverflow.com/a/8838023/1199155 (amp là mất tích ở đó).Bốn ký tự kiểm tra trong mệnh đề if là những người duy nhất dưới 128, theo http://www.w3.org/TR/html4/sgml/entities.html

Answer 9

Đối với những người sử dụng Google Ổi:

import com.google.common.html.HtmlEscapers; 
[...] 
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML"; 
String escaped = HtmlEscapers.htmlEscaper().escape(source);