Java에서 HTML을 이스케이프 처리하는 데 권장되는 방법

탈출 할 수있는 권장 방법이 <, >, "및 &일반 자바 코드의 문자 출력 HTML? (수동으로 다음을 수행하는 것 외에).

String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = source.replace("<", "&lt;").replace("&", "&amp;"); // ...

StringEscapeUtils 에서 아파치 코 몬즈 랭 :

import static org.apache.commons.lang.StringEscapeUtils.escapeHtml;
// ...
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = escapeHtml(source);

내용은 버전 3 :

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4;
// ...
String escaped = escapeHtml4(source);

Apache Commons의 대안 : Spring 의 HtmlUtils.htmlEscape(String input)방법을 사용하십시오 .

좋은 짧은 방법 :

public static String escapeHTML(String s) {
    StringBuilder out = new StringBuilder(Math.max(16, s.length()));
    for (int i = 0; i < s.length(); i++) {
        char c = s.charAt(i);
        if (c > 127 || c == '"' || c == '\'' || c == '<' || c == '>' || c == '&') {
            out.append("&#");
            out.append((int) c);
            out.append(';');
        } else {
            out.append(c);
        }
    }
    return out.toString();
}

에 기초 https://stackoverflow.com/a/8838023/1199155 (앰프가 누락되었습니다)를 합니다. http://www.w3.org/TR/html4/sgml/entities.html 에 따르면 if 절에서 확인 된 4 개의 문자는 128 미만의 유일한 문자입니다 .

최신 버전의 Apache Commons Lang 라이브러리 가 있으며 다른 패키지 이름 (org.apache.commons.lang3)을 사용합니다. (가) StringEscapeUtils지금은 다양한 유형의 문서를 탈출 다른 정적 방법이있다 ( http://commons.apache.org/proper/commons-lang/javadocs/api-3.0/index.html ). 따라서 HTML 버전 4.0 문자열을 이스케이프하려면

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4;

String output = escapeHtml4("The less than sign (<) and ampersand (&) must be escaped before using them in HTML");

Google Guava를 사용하는 사람들 :

import com.google.common.html.HtmlEscapers;
[...]
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = HtmlEscapers.htmlEscaper().escape(source);

Android (API 16 이상)에서 다음을 수행 할 수 있습니다.

Html.escapeHtml(textToScape);

또는 더 낮은 API :

TextUtils.htmlEncode(textToScape);

이것을 조심하십시오. HTML 문서에는 여러 가지 '컨텍스트'가 있습니다. 요소 내부, 인용 된 속성 값, 인용되지 않은 속성 값, URL 속성, 자바 스크립트, CSS 등 ... 각각에 대해 다른 인코딩 방법을 사용해야합니다. XSS (Cross-Site Scripting)를 방지합니다. 이러한 각 상황에 대한 자세한 내용 은 OWASP XSS 예방 요령 시트 를 확인하십시오 . OWASP ESAPI 라이브러리 ( https://github.com/ESAPI/esapi-java-legacy) 에서 이러한 각 컨텍스트에 대한 이스케이프 메소드를 찾을 수 있습니다 .

일부 목적으로 HtmlUtils :

import org.springframework.web.util.HtmlUtils;
[...]
HtmlUtils.htmlEscapeDecimal("&"); //gives &
HtmlUtils.htmlEscape("&"); //gives &

@dfa의 대답 org.apache.commons.lang.StringEscapeUtils.escapeHtml은 훌륭 하지만 과거에는 HTML (또는 XML) 속성 을 이스케이프하는 데 사용해서는 안됩니다. 그렇지 않으면 공백이 정규화됩니다 (모든 인접한 공백 문자가 단일 공백이 됨).

공백이 유지되지 않는 속성에 대해 내 라이브러리 (JATL)에 대해 버그를 제기했기 때문에 이것을 알고 있습니다. 따라서 속성과 요소 내용의 이스케이프를 구별하는 (copy n 'paste) 클래스 (JDOM에서 일부를 훔쳤습니다)가 있습니다 .

과거에는 그다지 중요하지 않았지만 (적절한 속성 이스케이프 처리) HTML5의 data-속성 사용을 사용함에 따라 점점 더 큰 관심을 끌고 있습니다.

org.apache.commons.lang3.StringEscapeUtils는 더 이상 사용되지 않습니다. 이제 org.apache.commons.text.StringEscapeUtils를 사용해야합니다.

    <dependency>
        <groupId>org.apache.commons</groupId>
        <artifactId>commons-text</artifactId>
        <version>${commons.text.version}</version>
    </dependency>

대부분의 라이브러리는 UTF-8 세계에서 원하지 않는 수백 개의 기호와 수천 개의 비 ASCII 문자를 포함하여 가능한 모든 것을 이스케이프 처리합니다.

또한 Jeff Williams가 언급했듯이 단일 "이스케이프 HTML"옵션이 없으며 몇 가지 컨텍스트가 있습니다.

인용되지 않은 속성을 사용하지 않고 다른 컨텍스트가 존재한다는 것을 명심하고 내 자신의 버전을 작성했습니다.

private static final long BODY_ESCAPE =
        1L << '&' | 1L << '<' | 1L << '>';
private static final long DOUBLE_QUOTED_ATTR_ESCAPE =
        1L << '"' | 1L << '&' | 1L << '<' | 1L << '>';
private static final long SINGLE_QUOTED_ATTR_ESCAPE =
        1L << '"' | 1L << '&' | 1L << '\'' | 1L << '<' | 1L << '>';

// 'quot' and 'apos' are 1 char longer than '#34' and '#39' which I've decided to use
private static final String REPLACEMENTS = "&#34;&amp;&#39;&lt;&gt;";
private static final int REPL_SLICES = /*  |0,   5,   10,  15, 19, 23*/
        5<<5 | 10<<10 | 15<<15 | 19<<20 | 23<<25;
// These 5-bit numbers packed into a single int
// are indices within REPLACEMENTS which is a 'flat' String[]

private static void appendEscaped(
        StringBuilder builder,
        CharSequence content,
        long escapes // pass BODY_ESCAPE or *_QUOTED_ATTR_ESCAPE here
) {
    int startIdx = 0, len = content.length();
    for (int i = 0; i < len; i++) {
        char c = content.charAt(i);
        long one;
        if (((c & 63) == c) && ((one = 1L << c) & escapes) != 0) {
        // -^^^^^^^^^^^^^^^   -^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
        // |                  | take only dangerous characters
        // | java shifts longs by 6 least significant bits,
        // | e. g. << 0b110111111 is same as >> 0b111111.
        // | Filter out bigger characters

            int index = Long.bitCount(SINGLE_QUOTED_ATTR_ESCAPE & (one - 1));
            builder.append(content, startIdx, i /* exclusive */)
                    .append(REPLACEMENTS,
                            REPL_SLICES >>> 5*index & 31,
                            REPL_SLICES >>> 5*(index+1) & 31);
            startIdx = i + 1;
        }
    }
    builder.append(content, startIdx, len);
}

행 길이 제한없이 Gist 에서 복사하여 붙여 넣기를 고려하십시오 .