Java转义

在Java中实现自动转义通常涉及将特殊字符转换为HTML实体、XML实体或其他安全格式，以避免注入攻击（如XSS）或语法错误。以下是常见的实现方案及示例

1. 使用第三方库自动转义‌

推荐使用成熟的开源库，避免手动处理遗漏。

‌Apache Commons Text‌

import org.apache.commons.text.StringEscapeUtils;

// 转义HTML
String unsafeHtml = "<script>alert('xss')</script>";
String escapedHtml = StringEscapeUtils.escapeHtml4(unsafeHtml);
// 输出：&lt;script&gt;alert(&#39;xss&#39;)&lt;/script&gt;

// 反转义（如果需要）
String original = StringEscapeUtils.unescapeHtml4(escapedHtml);

‌Spring Framework‌

Spring的HtmlUtils类提供简单转义：

import org.springframework.web.util.HtmlUtils;

String unsafe = "Hello & World < > \" '";
String escaped = HtmlUtils.htmlEscape(unsafe);
// 输出：Hello &amp; World &lt; &gt; &quot; &#39;

‌2. 自定义转义工具类‌

若无法引入第三方库，可手动定义转义规则：

public class HtmlEscapeUtils {
    public static String escapeHtml(String input) {
        return input.replace("&", "&amp;")
                    .replace("<", "&lt;")
                    .replace(">", "&gt;")
                    .replace("\"", "&quot;")
                    .replace("'", "&#39;");
    }
}

// 使用示例
String unsafe = "User input: <script>alert(1)</script>";
String safe = HtmlEscapeUtils.escapeHtml(unsafe);
// 输出：User input: &lt;script&gt;alert(1)&lt;/script&gt;

‌3. 模板引擎自动转义‌

现代模板引擎默认开启自动转义，避免手动处理。

‌Thymeleaf‌

在Spring Boot中配置Thymeleaf：

html

<!-- 默认自动转义 -->
<p th:text="${userInput}"></p>
<!-- 若需禁用转义 -->
<p th:utext="${userInput}"></p>

‌FreeMarker‌

配置FreeMarker时启用自动转义：

Configuration cfg = new Configuration(Configuration.VERSION_2_3_31);
cfg.setOutputFormat(HTMLOutputFormat.INSTANCE); // 开启HTML自动转义

‌4. 针对不同场景的转义‌

根据上下文选择合适的转义方式：

‌URL参数转义‌

使用URLEncoder处理URL中的特殊字符：

String query = "name=John&Doe&age=20";
String encoded = URLEncoder.encode(query, StandardCharsets.UTF_8);
// 输出：name%3DJohn%26Doe%26age%3D20

‌JSON数据转义‌

使用Jackson或Gson库自动处理JSON中的特殊字符：

String input = "已转义内容：&lt;tag&gt;";
// 错误做法：二次转义会破坏内容
String badOutput = HtmlEscapeUtils.escapeHtml(input);
// 结果：已转义内容：&amp;lt;tag&amp;gt;

// 正确做法：识别是否已转义（需业务逻辑判断）

‌5. 防止重复转义‌

确保不重复转义已处理的内容：

String input = "已转义内容：&lt;tag&gt;";
// 错误做法：二次转义会破坏内容
String badOutput = HtmlEscapeUtils.escapeHtml(input);
// 结果：已转义内容：&amp;lt;tag&amp;gt;

// 正确做法：识别是否已转义（需业务逻辑判断）

‌6. 安全注意事项‌

• ‌XSS防护‌：在输出到HTML、XML或JavaScript时，必须转义用户输入。
• ‌上下文敏感‌：
  • ‌HTML内容‌：转义<, >, &, ", '。
  • ‌HTML属性‌：转义属性值中的引号。
  • ‌JavaScript‌：使用\uXXXX格式转义特殊字符。

‌总结‌

合理选择自动转义方案，可大幅降低代码漏洞风险，确保数据安全输出。