Java'da HTML'den kaçmak için önerilen yöntem

Kaçmak için önerilen bir yolu var mı <, >, "ve &düz Java kodunda karakterler çıkış olarak HTML? (Aşağıdakileri manuel olarak yapmak dışında).

String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = source.replace("<", "&lt;").replace("&", "&amp;"); // ...

StringEscapeUtils gelen Apache Commons Lang :

import static org.apache.commons.lang.StringEscapeUtils.escapeHtml;
// ...
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = escapeHtml(source);

İçin sürüm 3 :

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4;
// ...
String escaped = escapeHtml4(source);

Kullanım: Apache Commons bir alternatif Yay 'in HtmlUtils.htmlEscape(String input)yöntemi.

Güzel kısa yöntem:

public static String escapeHTML(String s) {
    StringBuilder out = new StringBuilder(Math.max(16, s.length()));
    for (int i = 0; i < s.length(); i++) {
        char c = s.charAt(i);
        if (c > 127 || c == '"' || c == '\'' || c == '<' || c == '>' || c == '&') {
            out.append("&#");
            out.append((int) c);
            out.append(';');
        } else {
            out.append(c);
        }
    }
    return out.toString();
}

Dayanarak https://stackoverflow.com/a/8838023/1199155 (amp orada eksik). Http://www.w3.org/TR/html4/sgml/entities.html uyarınca, if yan tümcesinde işaretlenen dört karakter 128'in altında yalnızca tek karakterdir.

Apache Commons Lang kütüphanesinin daha yeni bir sürümü var ve farklı bir paket adı kullanıyor (org.apache.commons.lang3). Artık StringEscapeUtilsfarklı türdeki dokümanlardan kaçmak için farklı statik yöntemler var ( http://commons.apache.org/proper/commons-lang/javadocs/api-3.0/index.html ). HTML sürüm 4.0 dizesinden kaçmak için:

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4;

String output = escapeHtml4("The less than sign (<) and ampersand (&) must be escaped before using them in HTML");

Google Guava'yı kullananlar için:

import com.google.common.html.HtmlEscapers;
[...]
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = HtmlEscapers.htmlEscaper().escape(source);

Android'de (API 16 veya üstü) şunları yapabilirsiniz:

Html.escapeHtml(textToScape);

veya daha düşük API için:

TextUtils.htmlEncode(textToScape);

Buna dikkat et. Bir HTML belgesinde birkaç farklı 'bağlam' vardır: Bir öğenin içinde, alıntılanmış özellik değeri, alıntılanmamış özellik değeri, URL özelliği, javascript, CSS, vb ... Her biri için farklı bir kodlama yöntemi kullanmanız gerekir. bunlar Siteler Arası Komut Dizilerini (XSS) önlemek için kullanılır. Kontrol OWASP XSS Önleme Hile Sheet bu bağlamlarda her birine ilişkin ayrıntılar için. Bu bağlamların her biri için kaçış yöntemlerini OWASP ESAPI kütüphanesinde bulabilirsiniz - https://github.com/ESAPI/esapi-java-legacy .

Bazı amaçlar için, HtmlUtils :

import org.springframework.web.util.HtmlUtils;
[...]
HtmlUtils.htmlEscapeDecimal("&"); //gives &
HtmlUtils.htmlEscape("&"); //gives &

@ Dfa yanıtı org.apache.commons.lang.StringEscapeUtils.escapeHtmlgüzel olsa da ve ben geçmişte kullandığım HTML (veya XML) öznitelikleri kaçmak için kullanılmamalıdır aksi takdirde boşluk normalleştirilecektir (yani tüm bitişik boşluk karakterleri tek bir boşluk haline gelir).

Bunu biliyorum çünkü boşluk korunmayan öznitelikler için kütüphaneme (JATL) karşı açılan hatalar oldu. Böylece (copy n 'paste) sınıfında (bunlardan bazılarını JDOM'dan çaldım) niteliklerden ve eleman içeriğinden kaçışını ayıran bir düşüş var .

Bu geçmişte çok önemli olmasa da (uygun özellik kaçış), HTML5'in data-özellik kullanımının kullanımı göz önüne alındığında giderek daha fazla ilgi görmektedir .

org.apache.commons.lang3.StringEscapeUtils artık kullanımdan kaldırıldı. Şimdi org.apache.commons.text.StringEscapeUtils kullanmanız gerekir

    <dependency>
        <groupId>org.apache.commons</groupId>
        <artifactId>commons-text</artifactId>
        <version>${commons.text.version}</version>
    </dependency>

Çoğu kütüphane, UTF-8 dünyasında istediğiniz gibi olmayan yüzlerce sembol ve binlerce ASCII olmayan karakter de dahil olmak üzere ellerinden gelebilecek her şeyi kaçırmayı öneriyor.

Ayrıca, Jeff Williams'ın belirttiği gibi, tek bir “kaçış HTML” seçeneği yoktur, birkaç bağlam vardır.

Hiçbir zaman alıntılanmamış nitelikleri kullanmadığınızı ve farklı bağlamların mevcut olduğunu göz önünde bulundurarak, kendi sürümümü yazdı:

private static final long BODY_ESCAPE =
        1L << '&' | 1L << '<' | 1L << '>';
private static final long DOUBLE_QUOTED_ATTR_ESCAPE =
        1L << '"' | 1L << '&' | 1L << '<' | 1L << '>';
private static final long SINGLE_QUOTED_ATTR_ESCAPE =
        1L << '"' | 1L << '&' | 1L << '\'' | 1L << '<' | 1L << '>';

// 'quot' and 'apos' are 1 char longer than '#34' and '#39' which I've decided to use
private static final String REPLACEMENTS = "&#34;&amp;&#39;&lt;&gt;";
private static final int REPL_SLICES = /*  |0,   5,   10,  15, 19, 23*/
        5<<5 | 10<<10 | 15<<15 | 19<<20 | 23<<25;
// These 5-bit numbers packed into a single int
// are indices within REPLACEMENTS which is a 'flat' String[]

private static void appendEscaped(
        StringBuilder builder,
        CharSequence content,
        long escapes // pass BODY_ESCAPE or *_QUOTED_ATTR_ESCAPE here
) {
    int startIdx = 0, len = content.length();
    for (int i = 0; i < len; i++) {
        char c = content.charAt(i);
        long one;
        if (((c & 63) == c) && ((one = 1L << c) & escapes) != 0) {
        // -^^^^^^^^^^^^^^^   -^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
        // |                  | take only dangerous characters
        // | java shifts longs by 6 least significant bits,
        // | e. g. << 0b110111111 is same as >> 0b111111.
        // | Filter out bigger characters

            int index = Long.bitCount(SINGLE_QUOTED_ATTR_ESCAPE & (one - 1));
            builder.append(content, startIdx, i /* exclusive */)
                    .append(REPLACEMENTS,
                            REPL_SLICES >>> 5*index & 31,
                            REPL_SLICES >>> 5*(index+1) & 31);
            startIdx = i + 1;
        }
    }
    builder.append(content, startIdx, len);
}

Çizgi uzunluğu sınırı olmadan Gist'ten kopya yapıştırmayı düşünün .