XSS防御篇

上周要求写自己用任何语言写一个留言版，存到数据库中，用自己的办法来解决XSS

我用了JSP+MYSQL，自己写了一个过滤器来防御WEB XSS漏洞

package com.mess.filter;

public class HtmlFilter {
    public static String filter(String html) {
        if (html == null) {
            return null;
        }
        StringBuilder sb = new StringBuilder(html.length());
        for (int i = 0; i < html.length(); i++) {
            char c = html.charAt(i);
            switch (c) {
            case '>':
                sb.append("&gt;");
                break;
            case '<':
                sb.append("&lt;");
                break;
            case '&':
                sb.append("&amp;");
                break;
            case '"':
                sb.append("&quit;");
                break;
            case '\'':
                sb.append("&#039;");
                break;
            default:
                sb.append(c);
                break;
            }
        }
        return sb.toString();
    }

     

}

String title = HtmlFilter.filter(request.getParameter("title"));
String content = HtmlFilter.filter(request.getParameter("content"));

在加入数据库前编码一下就可以了。虽然XSS形成的多种多样，很难防御。但是这样的话对中小公司基本足够了。

如果觉得不够可以参考使用OWASP ESAPI，不仅仅可以防御XSS，还可以防御SQL等常见WEB漏洞。