Metode yang disarankan untuk keluar dari HTML di Jawa

Apakah ada cara yang direkomendasikan untuk melarikan diri <, >, "dan &karakter ketika keluaran HTML dalam kode Java polos? (Selain secara manual melakukan hal berikut, yaitu).

String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = source.replace("<", "&lt;").replace("&", "&amp;"); // ...

StringEscapeUtils dari Apache Commons Lang :

import static org.apache.commons.lang.StringEscapeUtils.escapeHtml;
// ...
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = escapeHtml(source);

Untuk versi 3 :

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4;
// ...
String escaped = escapeHtml4(source);

Sebuah alternatif untuk Apache Commons: Gunakan Musim Semi 's HtmlUtils.htmlEscape(String input)metode.

Metode pendek yang bagus:

public static String escapeHTML(String s) {
    StringBuilder out = new StringBuilder(Math.max(16, s.length()));
    for (int i = 0; i < s.length(); i++) {
        char c = s.charAt(i);
        if (c > 127 || c == '"' || c == '\'' || c == '<' || c == '>' || c == '&') {
            out.append("&#");
            out.append((int) c);
            out.append(';');
        } else {
            out.append(c);
        }
    }
    return out.toString();
}

Berdasarkan https://stackoverflow.com/a/8838023/1199155 (amp hilang di sana). Keempat karakter yang diperiksa dalam klausa if adalah satu-satunya di bawah 128, menurut http://www.w3.org/TR/html4/sgml/entities.html

Ada versi yang lebih baru dari perpustakaan Lang Apache Commons dan menggunakan nama paket yang berbeda (org.apache.commons.lang3). The StringEscapeUtilssekarang memiliki metode statis yang berbeda untuk melarikan diri berbagai jenis dokumen ( http://commons.apache.org/proper/commons-lang/javadocs/api-3.0/index.html ). Jadi untuk menghindari string HTML versi 4.0:

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4;

String output = escapeHtml4("The less than sign (<) and ampersand (&) must be escaped before using them in HTML");

Bagi mereka yang menggunakan Google Guava:

import com.google.common.html.HtmlEscapers;
[...]
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = HtmlEscapers.htmlEscaper().escape(source);

Di android (API 16 atau lebih tinggi) Anda dapat:

Html.escapeHtml(textToScape);

atau untuk API yang lebih rendah:

TextUtils.htmlEncode(textToScape);

Hati-hati dengan ini. Ada sejumlah 'konteks' yang berbeda dalam dokumen HTML: Di dalam elemen, nilai atribut yang dikutip, nilai atribut yang tidak dikutip, atribut URL, javascript, CSS, dll ... Anda harus menggunakan metode pengkodean yang berbeda untuk masing-masing ini untuk mencegah Cross-Site Scripting (XSS). Periksa Lembar Curang Pencegahan OWASP XSS untuk perincian tentang masing-masing konteks ini. Anda dapat menemukan metode melarikan diri untuk masing-masing konteks ini di perpustakaan OWASP ESAPI - https://github.com/ESAPI/esapi-java-legacy .

Untuk beberapa tujuan, HtmlUtils :

import org.springframework.web.util.HtmlUtils;
[...]
HtmlUtils.htmlEscapeDecimal("&"); //gives &
HtmlUtils.htmlEscape("&"); //gives &

Meskipun jawaban @ dfa org.apache.commons.lang.StringEscapeUtils.escapeHtmlbagus dan saya telah menggunakannya di masa lalu, seharusnya tidak digunakan untuk keluar dari atribut HTML (atau XML) kalau tidak spasi akan dinormalisasi (artinya semua karakter spasi yang berdekatan menjadi ruang tunggal).

Saya tahu ini karena saya memiliki bug yang diajukan terhadap perpustakaan saya (JATL) untuk atribut di mana spasi putih tidak dipertahankan. Jadi saya memiliki drop (copy n 'paste) kelas (yang saya mencuri beberapa dari JDOM) yang membedakan pelarian atribut dan konten elemen .

Meskipun ini mungkin tidak terlalu penting di masa lalu (atribut yang tepat melarikan diri) itu menjadi semakin menarik mengingat penggunaan penggunaan data-penggunaan atribut HTML5 .

org.apache.commons.lang3.StringEscapeUtils sekarang sudah tidak digunakan lagi. Anda sekarang harus menggunakan org.apache.commons.text.StringEscapeUtils oleh

    <dependency>
        <groupId>org.apache.commons</groupId>
        <artifactId>commons-text</artifactId>
        <version>${commons.text.version}</version>
    </dependency>

Sebagian besar perpustakaan menawarkan pelarian semua yang mereka bisa, termasuk ratusan simbol dan ribuan karakter non-ASCII yang bukan yang Anda inginkan di dunia UTF-8.

Juga, seperti yang dicatat Jeff Williams, tidak ada opsi "escape HTML", ada beberapa konteks.

Dengan asumsi Anda tidak pernah menggunakan atribut yang tidak dikutip, dan mengingat bahwa ada konteks yang berbeda, itu telah menulis versi saya sendiri:

private static final long BODY_ESCAPE =
        1L << '&' | 1L << '<' | 1L << '>';
private static final long DOUBLE_QUOTED_ATTR_ESCAPE =
        1L << '"' | 1L << '&' | 1L << '<' | 1L << '>';
private static final long SINGLE_QUOTED_ATTR_ESCAPE =
        1L << '"' | 1L << '&' | 1L << '\'' | 1L << '<' | 1L << '>';

// 'quot' and 'apos' are 1 char longer than '#34' and '#39' which I've decided to use
private static final String REPLACEMENTS = "&#34;&amp;&#39;&lt;&gt;";
private static final int REPL_SLICES = /*  |0,   5,   10,  15, 19, 23*/
        5<<5 | 10<<10 | 15<<15 | 19<<20 | 23<<25;
// These 5-bit numbers packed into a single int
// are indices within REPLACEMENTS which is a 'flat' String[]

private static void appendEscaped(
        StringBuilder builder,
        CharSequence content,
        long escapes // pass BODY_ESCAPE or *_QUOTED_ATTR_ESCAPE here
) {
    int startIdx = 0, len = content.length();
    for (int i = 0; i < len; i++) {
        char c = content.charAt(i);
        long one;
        if (((c & 63) == c) && ((one = 1L << c) & escapes) != 0) {
        // -^^^^^^^^^^^^^^^   -^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
        // |                  | take only dangerous characters
        // | java shifts longs by 6 least significant bits,
        // | e. g. << 0b110111111 is same as >> 0b111111.
        // | Filter out bigger characters

            int index = Long.bitCount(SINGLE_QUOTED_ATTR_ESCAPE & (one - 1));
            builder.append(content, startIdx, i /* exclusive */)
                    .append(REPLACEMENTS,
                            REPL_SLICES >>> 5*index & 31,
                            REPL_SLICES >>> 5*(index+1) & 31);
            startIdx = i + 1;
        }
    }
    builder.append(content, startIdx, len);
}

Pertimbangkan copy-paste dari Gist tanpa batas panjang garis .