Java - XSS - HTML 编码 - 字符实体引用与数字实体引用

Question

我们一直在寻找对 JSP 页面进行 HTML 编码以应对 XSS 的方法。

OWASP 网站显示How_to_perform_HTML_entity_encoding_in_Java

文章讨论了实体编码“Big 5”即

  21          {"#39", new Integer(39)}, // ' - apostrophe
  22          {"quot", new Integer(34)}, // " - double-quote
  23          {"amp", new Integer(38)}, // & - ampersand
  24          {"lt", new Integer(60)}, // < - less-than
  25          {"gt", new Integer(62)}, // > - greater-than

即

<script>

被编码为

  <script>

但本文中包含的 Java 代码示例使用数字引用编码，即

<script></script>

被编码为

 <script></script>

是否有理由使用字符引用而不是实体引用？哪个最好，为什么？

Answer 1

就保护自己免受 XSS 的影响而言，它们是相同的。唯一真正的实际区别是可读性和大小。