ESAPI编码问题

我们正在尝试在我们的Web应用程序中使用ESAPI。我们在servlet中有以下功能。ESAPI编码问题

 protected void doGet(HttpServletRequest request, 
     HttpServletResponse response) throws ServletException, IOException { 

     response.setContentType("text/html;charset=UTF-8"); 

     response.setHeader(SearchConstants.CACHE_CONTROL_HEADER, 

        SearchConstants.MAX_AGE_ZERO); 

     response.setHeader(SearchConstants.CACHE_CONTROL_HEADER, 

        SearchConstants.NO_CACHE); 

     response.setDateHeader(SearchConstants.EXPIRES_HEADER, 0); 

     response.setHeader(SearchConstants.PRAGMA_HEADER, "no cache"); 

     result = processRequest(request, response); 

     if (SearchConstants.XSLT_ERROR_MSG.equals(result)) { 

       LOGGER.error("XSLT ERROR FOR QUERY STRING: " 

          + request.getQueryString()); 

       response.sendError(HttpServletResponse.SC_INTERNAL_SERVER_ERROR); 

     } else if (SearchConstants.SEARCH_PAGE_MISSING_MSG.equals(result)) { 

       LOGGER.error("NOT FOUND ERROR FOR QUERY STRING: " 

          + request.getQueryString()); 

       response.sendError(HttpServletResponse.SC_NOT_FOUND); 

     } else { 

       final PrintWriter out = response.getWriter(); 
       out.println(result); // this works 
       // out.println(ESAPI.encoder().encodeForHTML(result)); 

     } 

    }

在上面的代码，如果我用out.println(ESAPI.encoder().encodeForHTML(result));，这实际上打印HTML作为浏览器的文本。即它显示为简单文本<html>其他内容.. </html>，而不是呈现html页面。 result只不过是需要在客户端上获得百分之百的html内容。我们在这里做错了事。请提供一些指示。我们如何在这里实现编码？

来源

2013-04-10 bhagyashree

你的问题的解决方案是不编码，但到rendere安全的HTML ..下面是解决

import org.owasp.validator.html.*; // Import AntiSamy 

String POLICY_FILE_LOCATION = "antisamy-1.4.1.xml"; // Path to policy file 

String dirtyInput = "<div><script>alert(1);</script></div>"; // Your HTML RESPONSE 

Policy policy = Policy.getInstance(POLICY_FILE_LOCATION); // Create Policy object 

AntiSamy as = new AntiSamy(); // Create AntiSamy object 
CleanResults cr = as.scan(dirtyInput, policy, AntiSamy.SAX); // Scan dirtyInput 

System.out.println(cr.getCleanHTML()); // Do something with your clean output!

在你编写代码确保你有以下：antisamy.jar。

这个jar需要如下依赖jar：

xercesImpl.jar
batik.jar
nekohtml.jar

您还需要policy.xml文件。

来源

2013-05-22 06:07:16 user2199229

对不起，我没有时间进入细节，看来你已经有了一个体面的答案。

有一种方法可以在ESAPI中执行此操作。我建议调用Validator.getValidSafeHTML()方法可能是一种方法。该方法实际上使用AntiSamy。查看TestValidator.java JUnit测试应该显示它的使用方式。不幸的是，该领域的文档非常缺乏，这是我有时或需要使用的代码。

如果您不想使用ESAPI，另一种方法是使用OWASP Java HTML Sanitizer Project。它比AntiSamy更快，维护更好，并具有最小的依赖关系（可能为零）。

希望有帮助， -kevin

来源

2014-05-28 02:59:28

回答

相关问题