Método recomendado para escaparse de HTML en Java

Question

¿Hay alguna forma recomendada de escaparse de los caracteres <, >, " y & al generar HTML en código Java simple? (Aparte de hacer manualmente lo siguiente, eso es).

String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML"; 
String escaped = source.replace("<", "&lt;").replace("&", "&amp;"); // ... 

Answer 1

StringEscapeUtils de Apache Commons Lang:

import static org.apache.commons.lang.StringEscapeUtils.escapeHtml; 
// ... 
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML"; 
String escaped = escapeHtml(source); 

Para version 3:

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4; 
// ... 
String escaped = escapeHtml4(source); 

Answer 2

Una alternativa a Apache Commons: Uso Spring 's HtmlUtils.htmlEscape(String input) método.

Answer 3

Para algunos propósitos, HtmlUtils:

import org.springframework.web.util.HtmlUtils; 
[...] 
HtmlUtils.htmlEscapeDecimal("&")` //gives & 
HtmlUtils.htmlEscape("&")` //gives & 

Answer 4

Hay una versión más reciente del Apache Commons Lang library y utiliza un nombre de paquete (org.apache.commons.lang3). El StringEscapeUtils ahora tiene diferentes métodos estáticos para escaparse de diferentes tipos de documentos (http://commons.apache.org/proper/commons-lang/javadocs/api-3.0/index.html). Así que para escapar de la versión HTML 4.0 de la cadena:

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4; 

String output = escapeHtml4("The less than sign (<) and ampersand (&) must be escaped before using them in HTML"); 

Answer 5

Ten cuidado con esto. Hay varios "contextos" diferentes dentro de un documento HTML: dentro de un elemento, valor de atributo entrecomillado, valor de atributo sin comillas, atributo de URL, javascript, CSS, etc. Necesitará utilizar un método de codificación diferente para cada uno de ellos. estos para evitar Cross-Site Scripting (XSS). Consulte la Hoja de referencia de prevención de XSS de OWASP para obtener detalles sobre cada uno de estos contextos: https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet. Puede encontrar métodos de escape para cada uno de estos contextos en la biblioteca OWASP ESAPI - https://github.com/ESAPI/esapi-java-legacy.

Answer 6

en Android (API 16 o mayor) se puede:

Html.escapeHtml(textToScape); 

o menor API:

TextUtils.htmlEncode(textToScape); 

Answer 7

Mientras @dfa respuesta de org.apache.commons.lang.StringEscapeUtils.escapeHtml es agradable y lo he utilizado en el pasado no se debe usar para escaparse de HTML (o XML) atributos de lo contrario, el espacio en blanco se normalizará (lo que significa que todos los espacios en blanco adyacentes se convierten en un solo espacio).

Lo sé porque he tenido errores encontrados en mi biblioteca (JATL) para los atributos donde el espacio en blanco no se ha conservado. Por lo tanto, tengo una gota en (copiar y pegar) class (of which I stole some from JDOM) that differentiates the escaping of attributes and element content.

Si bien esto puede no haber importado tanto en el pasado (escapando de atributos adecuados) es cada vez más interesante debido al uso del uso de los atributos de HTML5 data-.

Answer 8

Niza método abreviado:

public static String escapeHTML(String s) { 
    StringBuilder out = new StringBuilder(Math.max(16, s.length())); 
    for (int i = 0; i < s.length(); i++) { 
     char c = s.charAt(i); 
     if (c > 127 || c == '"' || c == '<' || c == '>' || c == '&') { 
      out.append("&#"); 
      out.append((int) c); 
      out.append(';'); 
     } else { 
      out.append(c); 
     } 
    } 
    return out.toString(); 
} 

Basado en https://stackoverflow.com/a/8838023/1199155 (el amplificador no se encuentra allí).Los cuatro caracteres controladas en el caso de la cláusula son los únicos por debajo de 128, de acuerdo con http://www.w3.org/TR/html4/sgml/entities.html

Answer 9

Para aquellos que utilizan Google Guava:

import com.google.common.html.HtmlEscapers; 
[...] 
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML"; 
String escaped = HtmlEscapers.htmlEscaper().escape(source);