作者：虎仔球妈_459 | 2023-09-06 10:17
杰夫实际上在Sanitize HTML中发布了这个.但他的例子是在C#中,我实际上对Java版本更感兴趣.有没有人有更好的Java版本？他的例子是否足以直接从C#转换为Java？
[更新]我已经对这个问题表示了赏心悦目,因为当我问这个问题时,SO并不那么受欢迎(*).至于与安全相关的任何事情,人们对它的看法越多,它就越好!
(*)事实上,我认为它仍处于封闭测试阶段
1> Chase Seiber..：
不要使用正则表达式执行此操作.请记住,您不是仅仅针对有效的HTML进行保护; 您正在防范Web浏览器创建的DOM.可以很容易地欺骗浏览器从无效的HTML生成有效的DOM.
例如,请参阅此混淆的XSS攻击列表.你准备好定制一个正则表达式来防止在IE6/7/8上对Yahoo和Hotmail进行现实攻击吗？
这个攻击在IE6上运行怎么样？
如何在本网站上未列出的攻击？杰夫的方法存在的问题是,它不是白名单,正如声称的那样.正如该页面上的某人熟练地指出:
它的问题是,html必须是干净的.在某些情况下你可以传入被黑客入侵的html,并且它不会匹配它,在这种情况下它会返回被黑客攻击的html字符串,因为它不匹配任何要替换的内容.这不是严格的白名单.
我会建议像AntiSamy这样的专用工具.它的工作原理是实际解析HTML,然后遍历DOM并删除不在可配置白名单中的任何内容.主要区别在于能够优雅地处理格式错误的HTML.
最好的部分是它实际上对上述站点上的所有XSS攻击进行单元测试.此外,有什么比这个API调用更容易:
public String toSafeHtml(String html) throws ScanException, PolicyException {
Policy policy = Policy.getInstance(POLICY_FILE);
AntiSamy antiSamy = new AntiSamy();
CleanResults cleanResults = antiSamy.scan(html, policy);
return cleanResults.getCleanHTML().trim();
}
推荐阅读
-
如何解决《从postgres日期提取周数》经验，为你挑选了1个好方法。 ...
[详细]
-
如何解决《嵌套列表中的min/max函数如何工作？》经验，为你挑选了2个好方法。 ...
[详细]
-
如何解决《NSNotification不会调用@selector方法》经验，为你挑选了1个好方法。 ...
[详细]
-
如何解决《以编程方式在代码隐藏中添加VisualStateSetter》经验，为你挑选了1个好方法。 ...
[详细]
-
如何解决《是否有理由使用$scope.$apply而不是$applyAsync？》经验，为你挑选了1个好方法。 ...
[详细]
-
如何解决《Emscriptenmalloc和JS和C++之间的免费版》经验，为你挑选了1个好方法。 ...
[详细]
-
如何解决《DoesAVAudioUnitEQactuallyworkoniOS?》经验，为你挑选了1个好方法。 ...
[详细]
-
如何解决《如何在Smalltalk中访问类变量》经验，为你挑选了1个好方法。 ...
[详细]
-
如何解决《添加到SourceBuffer的MediaSource在第一次之后不起作用》经验，为你挑选了0个好方法。 ...
[详细]
-
如何解决《无法解析方法setText(java.lang.String)》经验，为你挑选了1个好方法。 ...
[详细]
-
如何解决《从moment.js对象中删除时区》经验，为你挑选了3个好方法。 ...
[详细]
-
如何解决《如果不首先删除侦听器,重新分配数据源是否会导致内存泄漏？》经验，为你挑选了0个好方法。 ...
[详细]
-
如何解决《numpy的标准偏差》经验，为你挑选了1个好方法。 ...
[详细]
-
如何解决《查找通过url传递的变量数量》经验，为你挑选了1个好方法。 ...
[详细]
-
如何解决《WebApp部署到Azure》经验，为你挑选了1个好方法。 ...
[详细]
-
如何解决《TestNG启动期间发生内部错误》经验，为你挑选了2个好方法。 ...
[详细]
-
如何解决《在没有Marshal.Copy或Unsafe的情况下在C++中更新C＃数组》经验，为你挑选了1个好方法。 ...
[详细]
-
如何解决《DRF:验证后但在创建之前删除模型序列化程序上的字段(在CreateAPIView上)》经验，为你挑选了1个好方法。 ...
[详细]
-
如何解决《angularbootstraptypeahead将ng-model设置为对象而不是单个字段》经验，为你挑选了1个好方法。 ...
[详细]
-
如何解决《如何重命名与嵌套JSON对应的DataFrame中的字段》经验，为你挑选了1个好方法。 ...
[详细]
京公网安备 11010802040832号