Zalecana metoda zmiany znaczenia kodu HTML w Javie

Czy jest zalecanym sposobem ucieczki <, >, "a &znaki przy wysyłaniu HTML w zwykły kod Java? (Innymi słowy niż ręczne wykonanie następujących czynności).

String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = source.replace("<", "&lt;").replace("&", "&amp;"); // ...

StringEscapeUtils z Apache Commons Lang :

import static org.apache.commons.lang.StringEscapeUtils.escapeHtml;
// ...
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = escapeHtml(source);

Dla wersji 3 :

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4;
// ...
String escaped = escapeHtml4(source);

Alternatywą dla Apache Commons: Redakcyjne wiosennego „s HtmlUtils.htmlEscape(String input)metody.

Ładna krótka metoda:

public static String escapeHTML(String s) {
    StringBuilder out = new StringBuilder(Math.max(16, s.length()));
    for (int i = 0; i < s.length(); i++) {
        char c = s.charAt(i);
        if (c > 127 || c == '"' || c == '\'' || c == '<' || c == '>' || c == '&') {
            out.append("&#");
            out.append((int) c);
            out.append(';');
        } else {
            out.append(c);
        }
    }
    return out.toString();
}

Na podstawie https://stackoverflow.com/a/8838023/1199155 (wzmacniacza tam nie ma). Cztery znaki zaznaczone w klauzuli if są jedynymi poniżej 128, zgodnie z http://www.w3.org/TR/html4/sgml/entities.html

Istnieje nowsza wersja biblioteki Apache Commons Lang i używa innej nazwy pakietu (org.apache.commons.lang3). StringEscapeUtilsMa teraz różne metody statyczne do ucieczki różnych typów dokumentów ( http://commons.apache.org/proper/commons-lang/javadocs/api-3.0/index.html ). Aby uniknąć łańcucha znaków HTML w wersji 4.0:

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4;

String output = escapeHtml4("The less than sign (<) and ampersand (&) must be escaped before using them in HTML");

Dla tych, którzy korzystają z Google Guava:

import com.google.common.html.HtmlEscapers;
[...]
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = HtmlEscapers.htmlEscaper().escape(source);

Na Androidzie (API 16 lub nowszy) możesz:

Html.escapeHtml(textToScape);

lub dla niższego API:

TextUtils.htmlEncode(textToScape);

Uważaj na to. W dokumencie HTML istnieje wiele różnych „kontekstów”: wewnątrz elementu, cytowanej wartości atrybutu, niecytowanej wartości atrybutu, atrybutu URL, javascript, CSS itp. Dla każdej z tych opcji należy użyć innej metody kodowania te, aby zapobiec skryptom krzyżowym (XSS). Sprawdź arkusza OWASP XSS Zapobieganie Cheat szczegóły na każdym z tych kontekstów. Metody ucieczki dla każdego z tych kontekstów można znaleźć w bibliotece OWASP ESAPI - https://github.com/ESAPI/esapi-java-legacy .

Do niektórych celów HtmlUtils :

import org.springframework.web.util.HtmlUtils;
[...]
HtmlUtils.htmlEscapeDecimal("&"); //gives &
HtmlUtils.htmlEscape("&"); //gives &

Chociaż odpowiedź @dfa org.apache.commons.lang.StringEscapeUtils.escapeHtmljest dobra i korzystałem z niej w przeszłości, nie należy jej używać do zmiany znaczenia atrybutów HTML (lub XML), w przeciwnym razie białe znaki zostaną znormalizowane (co oznacza, że ​​wszystkie sąsiadujące białe znaki stają się pojedynczą spacją).

Wiem o tym, ponieważ zgłoszono błędy w mojej bibliotece (JATL) dotyczące atrybutów, w których nie zostały zachowane białe znaki. Mam więc klasę drop (wklej i wklej) (której część ukradłem z JDOM), która odróżnia ucieczkę atrybutów i zawartości elementu .

Chociaż w przeszłości mogło to nie mieć większego znaczenia (prawidłowe ucieczkowanie atrybutów), staje się coraz bardziej interesujące, biorąc pod uwagę użycie data-atrybutu HTML5 .

org.apache.commons.lang3.StringEscapeUtils jest teraz przestarzały. Musisz teraz użyć org.apache.commons.text.StringEscapeUtils przez

    <dependency>
        <groupId>org.apache.commons</groupId>
        <artifactId>commons-text</artifactId>
        <version>${commons.text.version}</version>
    </dependency>

Większość bibliotek oferuje unikanie wszystkiego, co się da, w tym setek symboli i tysięcy znaków spoza ASCII, co nie jest tym, czego chcesz w świecie UTF-8.

Ponadto, jak zauważył Jeff Williams, nie ma jednej opcji „escape HTML”, istnieje kilka kontekstów.

Zakładając, że nigdy nie używasz nieocenionych atrybutów i pamiętając, że istnieją różne konteksty, napisałem własną wersję:

private static final long BODY_ESCAPE =
        1L << '&' | 1L << '<' | 1L << '>';
private static final long DOUBLE_QUOTED_ATTR_ESCAPE =
        1L << '"' | 1L << '&' | 1L << '<' | 1L << '>';
private static final long SINGLE_QUOTED_ATTR_ESCAPE =
        1L << '"' | 1L << '&' | 1L << '\'' | 1L << '<' | 1L << '>';

// 'quot' and 'apos' are 1 char longer than '#34' and '#39' which I've decided to use
private static final String REPLACEMENTS = "&#34;&amp;&#39;&lt;&gt;";
private static final int REPL_SLICES = /*  |0,   5,   10,  15, 19, 23*/
        5<<5 | 10<<10 | 15<<15 | 19<<20 | 23<<25;
// These 5-bit numbers packed into a single int
// are indices within REPLACEMENTS which is a 'flat' String[]

private static void appendEscaped(
        StringBuilder builder,
        CharSequence content,
        long escapes // pass BODY_ESCAPE or *_QUOTED_ATTR_ESCAPE here
) {
    int startIdx = 0, len = content.length();
    for (int i = 0; i < len; i++) {
        char c = content.charAt(i);
        long one;
        if (((c & 63) == c) && ((one = 1L << c) & escapes) != 0) {
        // -^^^^^^^^^^^^^^^   -^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
        // |                  | take only dangerous characters
        // | java shifts longs by 6 least significant bits,
        // | e. g. << 0b110111111 is same as >> 0b111111.
        // | Filter out bigger characters

            int index = Long.bitCount(SINGLE_QUOTED_ATTR_ESCAPE & (one - 1));
            builder.append(content, startIdx, i /* exclusive */)
                    .append(REPLACEMENTS,
                            REPL_SLICES >>> 5*index & 31,
                            REPL_SLICES >>> 5*(index+1) & 31);
            startIdx = i + 1;
        }
    }
    builder.append(content, startIdx, len);
}

Rozważ wklejenie kopii z Gist bez limitu długości linii .