Metodo consigliato per sfuggire all'HTML in Java

Esiste un metodo consigliato per fuggire <, >, "e &caratteri quando l'output HTML in codice Java pianura? (Oltre a fare manualmente quanto segue, cioè).

String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = source.replace("<", "&lt;").replace("&", "&amp;"); // ...

StringEscapeUtils di Apache Commons Lang :

import static org.apache.commons.lang.StringEscapeUtils.escapeHtml;
// ...
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = escapeHtml(source);

Per la versione 3 :

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4;
// ...
String escaped = escapeHtml4(source);

Un'alternativa ad Apache Commons: utilizzare il metodo SpringHtmlUtils.htmlEscape(String input) .

Bel metodo corto:

public static String escapeHTML(String s) {
    StringBuilder out = new StringBuilder(Math.max(16, s.length()));
    for (int i = 0; i < s.length(); i++) {
        char c = s.charAt(i);
        if (c > 127 || c == '"' || c == '\'' || c == '<' || c == '>' || c == '&') {
            out.append("&#");
            out.append((int) c);
            out.append(';');
        } else {
            out.append(c);
        }
    }
    return out.toString();
}

Basato su https://stackoverflow.com/a/8838023/1199155 (l'amplificatore manca lì). I quattro caratteri controllati nella clausola if sono i soli sotto 128, secondo http://www.w3.org/TR/html4/sgml/entities.html

Esiste una versione più recente della libreria Lang di Apache Commons e utilizza un nome di pacchetto diverso (org.apache.commons.lang3). L' StringEscapeUtilsora ha diversi metodi statici per sfuggire a diversi tipi di documenti ( http://commons.apache.org/proper/commons-lang/javadocs/api-3.0/index.html ). Quindi, per sfuggire alla stringa HTML versione 4.0:

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4;

String output = escapeHtml4("The less than sign (<) and ampersand (&) must be escaped before using them in HTML");

Per coloro che utilizzano Google Guava:

import com.google.common.html.HtmlEscapers;
[...]
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = HtmlEscapers.htmlEscaper().escape(source);

Su Android (API 16 o successiva) puoi:

Html.escapeHtml(textToScape);

o per API inferiore:

TextUtils.htmlEncode(textToScape);

Stai attento con questo. Esistono diversi 'contesti' all'interno di un documento HTML: All'interno di un elemento, valore di attributo citato, valore di attributo non quotato, attributo URL, javascript, CSS, ecc ... Dovrai utilizzare un metodo di codifica diverso per ciascuno di questi per prevenire Cross-Site Scripting (XSS). Controlla il foglio informativo sulla prevenzione di OWASP XSS per i dettagli su ciascuno di questi contesti. Puoi trovare i metodi di escape per ciascuno di questi contesti nella libreria ESAPI di OWASP - https://github.com/ESAPI/esapi-java-legacy .

Per alcuni scopi, HtmlUtils :

import org.springframework.web.util.HtmlUtils;
[...]
HtmlUtils.htmlEscapeDecimal("&"); //gives &
HtmlUtils.htmlEscape("&"); //gives &

Mentre la risposta @dfa di org.apache.commons.lang.StringEscapeUtils.escapeHtmlè buona e l'ho usata in passato, non dovrebbe essere usata per sfuggire agli attributi HTML (o XML) altrimenti lo spazio bianco sarà normalizzato (nel senso che tutti i caratteri spazi bianchi adiacenti diventano un unico spazio).

Lo so perché ho avuto dei bug archiviati nella mia libreria (JATL) per attributi in cui gli spazi bianchi non venivano conservati. Quindi ho un calo nella classe (copia e incolla) (di cui ne ho rubati alcuni da JDOM) che differenzia la fuga di attributi e contenuto degli elementi .

Anche se questo potrebbe non essere stato così importante in passato (la corretta attribuzione dell'escape) è sempre più di grande interesse dato l'uso dell'uso dell'attributo HTML5 data-.

org.apache.commons.lang3.StringEscapeUtils è ora obsoleto. Ora devi usare org.apache.commons.text.StringEscapeUtils di

    <dependency>
        <groupId>org.apache.commons</groupId>
        <artifactId>commons-text</artifactId>
        <version>${commons.text.version}</version>
    </dependency>

La maggior parte delle biblioteche offre la possibilità di sfuggire a tutto ciò che può, tra cui centinaia di simboli e migliaia di caratteri non ASCII che non è ciò che si desidera nel mondo UTF-8.

Inoltre, come ha osservato Jeff Williams, non esiste un'unica opzione "escape HTML", ci sono diversi contesti.

Supponendo che non usi mai attributi non quotati e tenendo presente che esistono contesti diversi, ha scritto la mia versione:

private static final long BODY_ESCAPE =
        1L << '&' | 1L << '<' | 1L << '>';
private static final long DOUBLE_QUOTED_ATTR_ESCAPE =
        1L << '"' | 1L << '&' | 1L << '<' | 1L << '>';
private static final long SINGLE_QUOTED_ATTR_ESCAPE =
        1L << '"' | 1L << '&' | 1L << '\'' | 1L << '<' | 1L << '>';

// 'quot' and 'apos' are 1 char longer than '#34' and '#39' which I've decided to use
private static final String REPLACEMENTS = "&#34;&amp;&#39;&lt;&gt;";
private static final int REPL_SLICES = /*  |0,   5,   10,  15, 19, 23*/
        5<<5 | 10<<10 | 15<<15 | 19<<20 | 23<<25;
// These 5-bit numbers packed into a single int
// are indices within REPLACEMENTS which is a 'flat' String[]

private static void appendEscaped(
        StringBuilder builder,
        CharSequence content,
        long escapes // pass BODY_ESCAPE or *_QUOTED_ATTR_ESCAPE here
) {
    int startIdx = 0, len = content.length();
    for (int i = 0; i < len; i++) {
        char c = content.charAt(i);
        long one;
        if (((c & 63) == c) && ((one = 1L << c) & escapes) != 0) {
        // -^^^^^^^^^^^^^^^   -^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
        // |                  | take only dangerous characters
        // | java shifts longs by 6 least significant bits,
        // | e. g. << 0b110111111 is same as >> 0b111111.
        // | Filter out bigger characters

            int index = Long.bitCount(SINGLE_QUOTED_ATTR_ESCAPE & (one - 1));
            builder.append(content, startIdx, i /* exclusive */)
                    .append(REPLACEMENTS,
                            REPL_SLICES >>> 5*index & 31,
                            REPL_SLICES >>> 5*(index+1) & 31);
            startIdx = i + 1;
        }
    }
    builder.append(content, startIdx, len);
}

Prendi in considerazione la possibilità di copiare e incollare da Gist senza limite di lunghezza della linea .