Рекомендуемый метод ускорения HTML в Java

Question

Есть ли способ избежать вывода <, >, " и & символов при выводе HTML в виде простого кода Java? (За исключением ручного выполнения следующего, то есть).

String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML"; 
String escaped = source.replace("<", "&lt;").replace("&", "&amp;"); // ... 

Answer 1

StringEscapeUtils от Apache Commons Lang:

import static org.apache.commons.lang.StringEscapeUtils.escapeHtml; 
// ... 
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML"; 
String escaped = escapeHtml(source); 

Для version 3:

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4; 
// ... 
String escaped = escapeHtml4(source); 

Answer 2

В качестве альтернативы Apache Commons: HtmlUtils.htmlEscape(String input) метод использования Spring «ы.

Answer 3

Для некоторых целей HtmlUtils:

import org.springframework.web.util.HtmlUtils; 
[...] 
HtmlUtils.htmlEscapeDecimal("&")` //gives & 
HtmlUtils.htmlEscape("&")` //gives & 

Answer 4

Существует более новая версия Apache Commons Lang library и он использует другое имя пакета (org.apache.commons.lang3). StringEscapeUtils теперь имеет разные статические методы для экранирования различных типов документов (http://commons.apache.org/proper/commons-lang/javadocs/api-3.0/index.html). Таким образом, чтобы избежать строки HTML версии 4.0:

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4; 

String output = escapeHtml4("The less than sign (<) and ampersand (&) must be escaped before using them in HTML"); 

Answer 5

Будьте осторожны с этим. Внутри HTML-документа имеется несколько разных «контекстов»: внутри элемента, значение цитируемого атрибута, значение без кавычек, атрибут URL, javascript, CSS и т. Д. Вам нужно будет использовать другой метод кодирования для каждого из чтобы предотвратить межсайтовый скриптинг (XSS). Для получения более подробной информации о каждом из этих контекстов проверьте OWASP XSS Prevention Cheat Sheet - https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet. Вы можете найти методы экранирования для каждого из этих контекстов в библиотеке OWASP ESAPI - https://github.com/ESAPI/esapi-java-legacy.

Answer 6

на андроид (API 16 или больше) вы можете:

Html.escapeHtml(textToScape); 

или нижней API:

TextUtils.htmlEncode(textToScape); 

Answer 7

Хотя @dfa ответ org.apache.commons.lang.StringEscapeUtils.escapeHtml хорошо, и я использовал его в прошлом он не должен использоваться для экранирования атрибутов HTML (или XML) , иначе пробелы будут нормализованы (это означает, что все смежные пробельные символы становятся единым пространством).

Я знаю это, потому что у меня были ошибки, связанные с моей библиотекой (JATL) для атрибутов, где пробелы не сохранялись. Таким образом, у меня есть капля (копия n 'paste) class (of which I stole some from JDOM) that differentiates the escaping of attributes and element content.

Хотя это, возможно, не так важно в прошлом (надлежащий атрибут экранирования), он становится все более интересным, учитывая использование использования атрибута HTML5 data-.

Answer 8

Nice короткий метод:

public static String escapeHTML(String s) { 
    StringBuilder out = new StringBuilder(Math.max(16, s.length())); 
    for (int i = 0; i < s.length(); i++) { 
     char c = s.charAt(i); 
     if (c > 127 || c == '"' || c == '<' || c == '>' || c == '&') { 
      out.append("&#"); 
      out.append((int) c); 
      out.append(';'); 
     } else { 
      out.append(c); 
     } 
    } 
    return out.toString(); 
} 

на основе https://stackoverflow.com/a/8838023/1199155 (усилитель отсутствует там).Четыре символа проверяются в, если п являются единственными ниже 128, в соответствии с http://www.w3.org/TR/html4/sgml/entities.html

Answer 9

Для тех, кто использует Google Guava:

import com.google.common.html.HtmlEscapers; 
[...] 
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML"; 
String escaped = HtmlEscapers.htmlEscaper().escape(source);