Кодирование сущности объекта в веб-приложении

Question

Iam ищет все ваши ценные предложения, чтобы избежать воинственности через данные формы в веб-приложении. Какие символы нужно кодировать, чтобы избежать таких инъекционных атак как часть кодирования сущности html?. Включение каких символов в наши данные формы будет подвержено HTML-инъекциям?
На данный момент мы передаем символы \ ", /, \,:, *,?, <,>, |,;,%, #, ~ из пользовательского ввода в поля ввода формы нашего веб-приложения. Также мы («<», «&»} на {"<", " вход в нашу форму fields.Does приложений требует, чтобы повысить выход методики кодирования любых других символов, чтобы избавиться от любой vulnerbility ситуации? Пожалуйста, обновите меня с ценными предложениями как можно скорее. Спасибо & привет, Sureshbabu

Answer 1

В принципе, этого достаточно, чтобы избежать <> & "к их соответствующим объектам html, но есть несколько сложных атак, которые включают в себя некоторые шаблоны символов, которые заставляют браузер переключиться на другую кодировку, в которой злоумышленник закодировал строку атаки.

Поскольку это сложно, есть несколько библиотек, которые постоянно обновляются, чтобы сделать эту работу наилучшим образом, один из них - HTML Purifier (для php).

Answer 2

Попробуйте Apache Commons - Lang: http://commons.apache.org/lang/api-release/index.html

В StringEscapeUtils класса обеспечивают способ для вашей проблемы. http://commons.apache.org/lang/api-release/org/apache/commons/lang/StringEscapeUtils.html