Codage de l'entité Html dans l'application Web

Question

Je cherche toutes vos précieuses suggestions pour éviter une vulnérabilité via les données de formulaire dans une application Web. Quels caractères doivent être codés pour éviter de telles attaques par injection dans le cadre du codage d'entité html?. L'injection de caractères dans nos données de formulaire sera sujette aux injections HTML?
A partir de maintenant, nous sommes vaidating \ ", /, \,:, *,?, ,>, |,;,%, #, ~ caractères de l'utilisateur dans les champs de saisie de notre application web. ont implémenté la méthodologie de codage pour encoder {"<", ">", "\", "&"} à {"<", """, ">", "&"} où nous avons permis ces caractères à l'utilisateur entrée dans notre formulaire de demande fields.Does il a besoin pour améliorer la méthodologie sur le codage de caractères à tout autre pour se débarrasser de toute situation de vulnerbility? S'il vous plaît me mettre à jour vos suggestions précieuses dès que possible. Merci & salutations, Sureshbabu

Answer 1

Fondamentalement, il suffit d'échapper <> & "à leurs entités html correspondantes, mais il y a quelques attaques compliquées qui incluent des motifs de caractères qui font passer le navigateur à un autre encodage dans lequel l'attaquant a codé la chaîne d'attaque. Comme c'est compliqué, certaines bibliothèques sont constamment mises à jour pour faire ce travail de la meilleure façon possible, l'une d'entre elles est HTML Purifier (pour php).

Answer 2

Essayez Apache Commons - Lang: http://commons.apache.org/lang/api-release/index.html

La classe StringEscapeUtils fournissent une méthode pour votre problème. http://commons.apache.org/lang/api-release/org/apache/commons/lang/StringEscapeUtils.html