Empfohlene Methode zum Escapezeichen von HTML in Java

Gibt es einen empfohlene Weg zu entkommen <, >, "und &Zeichen bei der Ausgabe HTML in einfachen Java - Code? (Anders als manuell das Folgende zu tun).

String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = source.replace("<", "&lt;").replace("&", "&amp;"); // ...

StringEscapeUtils von Apache Commons Lang :

import static org.apache.commons.lang.StringEscapeUtils.escapeHtml;
// ...
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = escapeHtml(source);

Für Version 3 :

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4;
// ...
String escaped = escapeHtml4(source);

Eine Alternative zu Apache Commons: Verwenden Sie Spring 'sHtmlUtils.htmlEscape(String input) Methode.

Schöne kurze Methode:

public static String escapeHTML(String s) {
    StringBuilder out = new StringBuilder(Math.max(16, s.length()));
    for (int i = 0; i < s.length(); i++) {
        char c = s.charAt(i);
        if (c > 127 || c == '"' || c == '\'' || c == '<' || c == '>' || c == '&') {
            out.append("&#");
            out.append((int) c);
            out.append(';');
        } else {
            out.append(c);
        }
    }
    return out.toString();
}

Basierend auf https://stackoverflow.com/a/8838023/1199155 (der Verstärker fehlt dort). Die vier in der if-Klausel aktivierten Zeichen sind laut http://www.w3.org/TR/html4/sgml/entities.html die einzigen unter 128

Es gibt eine neuere Version der Apache Commons Lang-Bibliothek und sie verwendet einen anderen Paketnamen (org.apache.commons.lang3). Das hat StringEscapeUtilsjetzt verschiedene statische Methoden, um verschiedene Arten von Dokumenten zu maskieren ( maskieren http://commons.apache.org/proper/commons-lang/javadocs/api-3.0/index.html ). So entziehen Sie sich der HTML-Version 4.0:

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4;

String output = escapeHtml4("The less than sign (<) and ampersand (&) must be escaped before using them in HTML");

Für diejenigen, die Google Guava verwenden:

import com.google.common.html.HtmlEscapers;
[...]
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = HtmlEscapers.htmlEscaper().escape(source);

Auf Android (API 16 oder höher) können Sie:

Html.escapeHtml(textToScape);

oder für niedrigere API:

TextUtils.htmlEncode(textToScape);

Sei vorsichtig damit. Innerhalb eines HTML-Dokuments gibt es eine Reihe verschiedener 'Kontexte': Innerhalb eines Elements, zitierter Attributwert, nicht zitierter Attributwert, URL-Attribut, Javascript, CSS usw. Sie müssen für jedes Element eine andere Codierungsmethode verwenden diese, um Cross-Site Scripting (XSS) zu verhindern. Überprüfen Sie das OWASP XSS Prevention Cheat Sheet auf Details zu jedem dieser Kontexte. Escape-Methoden für jeden dieser Kontexte finden Sie in der OWASP ESAPI-Bibliothek - https://github.com/ESAPI/esapi-java-legacy .

Für einige Zwecke, HtmlUtils :

import org.springframework.web.util.HtmlUtils;
[...]
HtmlUtils.htmlEscapeDecimal("&"); //gives &
HtmlUtils.htmlEscape("&"); //gives &

Die @ dfa-Antwort von org.apache.commons.lang.StringEscapeUtils.escapeHtmlist zwar nett und ich habe sie in der Vergangenheit verwendet. Sie sollte jedoch nicht zum Escapen von HTML- (oder XML-) Attributen verwendet werden, da sonst das Leerzeichen normalisiert wird (dh alle benachbarten Leerzeichen werden zu einem einzigen Leerzeichen).

Ich weiß das, weil ich Fehler in meiner Bibliothek (JATL) für Attribute eingereicht habe, bei denen Leerzeichen nicht beibehalten wurden. Daher habe ich eine Drop-In- Klasse (Kopieren und Einfügen) (von der ich einige aus JDOM gestohlen habe), die das Entkommen von Attributen und Elementinhalten unterscheidet .

Während dies in der Vergangenheit möglicherweise nicht so wichtig war (ordnungsgemäßes Entweichen von Attributen), wird es angesichts der Verwendung der data-Attributverwendung von HTML5 zunehmend von größerem Interesse .

org.apache.commons.lang3.StringEscapeUtils ist jetzt veraltet. Sie müssen jetzt org.apache.commons.text.StringEscapeUtils von verwenden

    <dependency>
        <groupId>org.apache.commons</groupId>
        <artifactId>commons-text</artifactId>
        <version>${commons.text.version}</version>
    </dependency>

Die meisten Bibliotheken bieten alles, was sie können, einschließlich Hunderten von Symbolen und Tausenden von Nicht-ASCII-Zeichen, was in der UTF-8-Welt nicht das ist, was Sie wollen.

Wie Jeff Williams bemerkte, gibt es keine einzige Option für "Escape-HTML", sondern mehrere Kontexte.

Angenommen, Sie verwenden niemals nicht zitierte Attribute und denken daran, dass unterschiedliche Kontexte existieren, dann hat es meine eigene Version geschrieben:

private static final long BODY_ESCAPE =
        1L << '&' | 1L << '<' | 1L << '>';
private static final long DOUBLE_QUOTED_ATTR_ESCAPE =
        1L << '"' | 1L << '&' | 1L << '<' | 1L << '>';
private static final long SINGLE_QUOTED_ATTR_ESCAPE =
        1L << '"' | 1L << '&' | 1L << '\'' | 1L << '<' | 1L << '>';

// 'quot' and 'apos' are 1 char longer than '#34' and '#39' which I've decided to use
private static final String REPLACEMENTS = "&#34;&amp;&#39;&lt;&gt;";
private static final int REPL_SLICES = /*  |0,   5,   10,  15, 19, 23*/
        5<<5 | 10<<10 | 15<<15 | 19<<20 | 23<<25;
// These 5-bit numbers packed into a single int
// are indices within REPLACEMENTS which is a 'flat' String[]

private static void appendEscaped(
        StringBuilder builder,
        CharSequence content,
        long escapes // pass BODY_ESCAPE or *_QUOTED_ATTR_ESCAPE here
) {
    int startIdx = 0, len = content.length();
    for (int i = 0; i < len; i++) {
        char c = content.charAt(i);
        long one;
        if (((c & 63) == c) && ((one = 1L << c) & escapes) != 0) {
        // -^^^^^^^^^^^^^^^   -^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
        // |                  | take only dangerous characters
        // | java shifts longs by 6 least significant bits,
        // | e. g. << 0b110111111 is same as >> 0b111111.
        // | Filter out bigger characters

            int index = Long.bitCount(SINGLE_QUOTED_ATTR_ESCAPE & (one - 1));
            builder.append(content, startIdx, i /* exclusive */)
                    .append(REPLACEMENTS,
                            REPL_SLICES >>> 5*index & 31,
                            REPL_SLICES >>> 5*(index+1) & 31);
            startIdx = i + 1;
        }
    }
    builder.append(content, startIdx, len);
}

Erwägen Sie das Einfügen von Texten aus Gist ohne Zeilenlängenbeschränkung .