Phương pháp được đề xuất để thoát HTML trong Java

Có cách nào đề nghị để thoát <, >, "và &nhân vật khi xuất ra HTML trong mã Java đơn giản? (Khác với cách làm thủ công sau đây, nghĩa là).

String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = source.replace("<", "&lt;").replace("&", "&amp;"); // ...

StringEscapeUtils từ Apache Commons Lang :

import static org.apache.commons.lang.StringEscapeUtils.escapeHtml;
// ...
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = escapeHtml(source);

Đối với phiên bản 3 :

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4;
// ...
String escaped = escapeHtml4(source);

Một thay thế cho Apache Commons: Sử dụng phương thức của SpringHtmlUtils.htmlEscape(String input) .

Phương pháp ngắn đẹp:

public static String escapeHTML(String s) {
    StringBuilder out = new StringBuilder(Math.max(16, s.length()));
    for (int i = 0; i < s.length(); i++) {
        char c = s.charAt(i);
        if (c > 127 || c == '"' || c == '\'' || c == '<' || c == '>' || c == '&') {
            out.append("&#");
            out.append((int) c);
            out.append(';');
        } else {
            out.append(c);
        }
    }
    return out.toString();
}

Dựa trên https://stackoverflow.com/a/8838023/1199155 (amp bị thiếu ở đó). Bốn ký tự được kiểm tra trong mệnh đề if là những ký tự duy nhất dưới 128, theo http://www.w3.org/TR/html4/sgml/entities.html

Có một phiên bản mới hơn của thư viện Apache Commons Lang và nó sử dụng một tên gói khác (org.apache.commons.lang3). Hiện StringEscapeUtilstại có các phương thức tĩnh khác nhau để thoát các loại tài liệu khác nhau ( http://commons.apache.org/proper/commons-lang/javadocs/api-3.0/index.html ). Vì vậy, để thoát chuỗi HTML phiên bản 4.0:

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4;

String output = escapeHtml4("The less than sign (<) and ampersand (&) must be escaped before using them in HTML");

Đối với những người sử dụng Google Guava:

import com.google.common.html.HtmlEscapers;
[...]
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = HtmlEscapers.htmlEscaper().escape(source);

Trên Android (API 16 trở lên), bạn có thể:

Html.escapeHtml(textToScape);

hoặc cho API thấp hơn:

TextUtils.htmlEncode(textToScape);

Hãy cẩn thận với điều này. Có một số 'bối cảnh' khác nhau trong một tài liệu HTML: Bên trong một phần tử, giá trị thuộc tính được trích dẫn, giá trị thuộc tính không được trích dẫn, thuộc tính URL, javascript, CSS, v.v ... Bạn sẽ cần sử dụng một phương thức mã hóa khác nhau cho mỗi những điều này để ngăn chặn kịch bản chéo trang web (XSS). Kiểm tra Bảng Cheat Ngăn chặn OWASP XSS để biết chi tiết về từng bối cảnh này. Bạn có thể tìm thấy các phương thức thoát cho từng bối cảnh trong thư viện OWASP ESAPI - https://github.com/ESAPI/esapi-java-legacy .

Đối với một số mục đích, HtmlUtils :

import org.springframework.web.util.HtmlUtils;
[...]
HtmlUtils.htmlEscapeDecimal("&"); //gives &
HtmlUtils.htmlEscape("&"); //gives &

Mặc dù câu trả lời @dfa org.apache.commons.lang.StringEscapeUtils.escapeHtmllà hay và tôi đã sử dụng nó trong quá khứ, nó không nên được sử dụng để thoát các thuộc tính HTML (hoặc XML) nếu không khoảng trắng sẽ được chuẩn hóa (có nghĩa là tất cả các ký tự khoảng trắng liền kề trở thành một khoảng trắng).

Tôi biết điều này bởi vì tôi đã có lỗi gửi đến thư viện của tôi (JATL) cho các thuộc tính nơi khoảng trắng không được bảo tồn. Vì vậy, tôi có một lớp (sao chép n 'paste) (trong đó tôi đã đánh cắp một số từ JDOM) để phân biệt việc thoát các thuộc tính và nội dung phần tử .

Mặc dù điều này có thể không còn quan trọng trong quá khứ (thoát thuộc tính phù hợp), nhưng nó ngày càng trở nên được quan tâm nhiều hơn khi sử dụng sử dụng data-thuộc tính của HTML5 .

org.apache.commons.lang3.StringEscapeUtils hiện không được chấp nhận. Bây giờ bạn phải sử dụng org.apache.commons.text.StringEscapeUtils bởi

    <dependency>
        <groupId>org.apache.commons</groupId>
        <artifactId>commons-text</artifactId>
        <version>${commons.text.version}</version>
    </dependency>

Hầu hết các thư viện cung cấp thoát mọi thứ họ có thể, bao gồm hàng trăm ký hiệu và hàng ngàn ký tự không phải ASCII không phải là thứ bạn muốn trong thế giới UTF-8.

Ngoài ra, như Jeff Williams đã lưu ý, không có tùy chọn nào thoát khỏi HTML HTML, có một số bối cảnh.

Giả sử bạn không bao giờ sử dụng các thuộc tính không được trích dẫn và hãy nhớ rằng các bối cảnh khác nhau tồn tại, nó đã viết phiên bản của riêng tôi:

private static final long BODY_ESCAPE =
        1L << '&' | 1L << '<' | 1L << '>';
private static final long DOUBLE_QUOTED_ATTR_ESCAPE =
        1L << '"' | 1L << '&' | 1L << '<' | 1L << '>';
private static final long SINGLE_QUOTED_ATTR_ESCAPE =
        1L << '"' | 1L << '&' | 1L << '\'' | 1L << '<' | 1L << '>';

// 'quot' and 'apos' are 1 char longer than '#34' and '#39' which I've decided to use
private static final String REPLACEMENTS = "&#34;&amp;&#39;&lt;&gt;";
private static final int REPL_SLICES = /*  |0,   5,   10,  15, 19, 23*/
        5<<5 | 10<<10 | 15<<15 | 19<<20 | 23<<25;
// These 5-bit numbers packed into a single int
// are indices within REPLACEMENTS which is a 'flat' String[]

private static void appendEscaped(
        StringBuilder builder,
        CharSequence content,
        long escapes // pass BODY_ESCAPE or *_QUOTED_ATTR_ESCAPE here
) {
    int startIdx = 0, len = content.length();
    for (int i = 0; i < len; i++) {
        char c = content.charAt(i);
        long one;
        if (((c & 63) == c) && ((one = 1L << c) & escapes) != 0) {
        // -^^^^^^^^^^^^^^^   -^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
        // |                  | take only dangerous characters
        // | java shifts longs by 6 least significant bits,
        // | e. g. << 0b110111111 is same as >> 0b111111.
        // | Filter out bigger characters

            int index = Long.bitCount(SINGLE_QUOTED_ATTR_ESCAPE & (one - 1));
            builder.append(content, startIdx, i /* exclusive */)
                    .append(REPLACEMENTS,
                            REPL_SLICES >>> 5*index & 31,
                            REPL_SLICES >>> 5*(index+1) & 31);
            startIdx = i + 1;
        }
    }
    builder.append(content, startIdx, len);
}

Xem xét dán sao chép từ Gist mà không giới hạn độ dài dòng .