Java ESAPI 实现

Question

我有一个关于用于 xss 保护的 owasp ESAPI 接口的问题。为了简单明了，我正在使用 fortify 进行源代码审查。 应用程序实现 ESAPI 并调用 ESAPI.encoder().canonicalize(user input) 并且不做任何进一步的验证并打印输出。这仍然容易受到 xss 的攻击吗 PS：反射点在 html 元素内。 我浏览了所有关于堆栈溢出中的 ESAPI 接口的帖子，但不太明白 任何帮助将不胜感激

Answer 1

canonicalize 本身并不能阻止 xss。它对数据进行解码，但您想要相反，对数据进行编码。

它不仅允许直通<script>alert(1)</script> 之类的内容，而且还可以将<script>alert(1)</script> 从不可执行的脚本解码为可执行的。

您想要的方法是encodeForHTML。这将对数据进行编码，以便可以安全地将其插入 HTML 上下文中，因此 < 将变为 < 等等。

另外，通过检查这些字符是否被接受来检查您是否已经在进行 HTML 编码。一些模板语言和标签会自动进行编码。