Java转义

原创于 2025-04-24 14:25:56 发布 · 849 阅读

5 ·

CC 4.0 BY-SA版权

文章标签：

#java #开发语言

在Java中实现自动转义通常涉及将特殊字符转换为HTML实体、XML实体或其他安全格式，以避免注入攻击（如XSS）或语法错误。以下是常见的实现方案及示例

1. 使用第三方库自动转义‌

推荐使用成熟的开源库，避免手动处理遗漏。

‌Apache Commons Text‌

import org.apache.commons.text.StringEscapeUtils;

// 转义HTML
String unsafeHtml = "<script>alert('xss')</script>";
String escapedHtml = StringEscapeUtils.escapeHtml4(unsafeHtml);
// 输出：<script>alert('xss')</script>

// 反转义（如果需要）
String original = StringEscapeUtils.unescapeHtml4(escapedHtml);

‌Spring Framework‌

Spring的HtmlUtils类提供简单转义：

import org.springframework.web.util.HtmlUtils;

String unsafe = "Hello & World < > \" '";
String escaped = HtmlUtils.htmlEscape(unsafe);
// 输出：Hello & World < > " '

‌2. 自定义转义工具类‌

若无法引入第三方库，可手动定义转义规则：

public class HtmlEscapeUtils {
    public static String escapeHtml(String input) {
        return input.replace("&", "&")
                    .replace("<", "<")
                    .replace(">", ">")
                    .replace("\"", """)
                    .replace("'", "'");
    }
}

// 使用示例
String unsafe = "User input: <script>alert(1)</script>";
String safe = HtmlEscapeUtils.escapeHtml(unsafe);
// 输出：User input: <script>alert(1)</script>

‌3. 模板引擎自动转义‌

现代模板引擎默认开启自动转义，避免手动处理。

‌Thymeleaf‌

在Spring Boot中配置Thymeleaf：

html

<p th:text="${userInput}"></p>

<p th:utext="${userInput}"></p>

‌FreeMarker‌

配置FreeMarker时启用自动转义：

Configuration cfg = new Configuration(Configuration.VERSION_2_3_31);
cfg.setOutputFormat(HTMLOutputFormat.INSTANCE); // 开启HTML自动转义

‌4. 针对不同场景的转义‌

根据上下文选择合适的转义方式：

‌URL参数转义‌

使用URLEncoder处理URL中的特殊字符：

String query = "name=John&Doe&age=20";
String encoded = URLEncoder.encode(query, StandardCharsets.UTF_8);
// 输出：name%3DJohn%26Doe%26age%3D20

‌JSON数据转义‌

使用Jackson或Gson库自动处理JSON中的特殊字符：

String input = "已转义内容：<tag>";
// 错误做法：二次转义会破坏内容
String badOutput = HtmlEscapeUtils.escapeHtml(input);
// 结果：已转义内容：&lt;tag&gt;

// 正确做法：识别是否已转义（需业务逻辑判断）

‌5. 防止重复转义‌

确保不重复转义已处理的内容：

String input = "已转义内容：<tag>";
// 错误做法：二次转义会破坏内容
String badOutput = HtmlEscapeUtils.escapeHtml(input);
// 结果：已转义内容：&lt;tag&gt;

// 正确做法：识别是否已转义（需业务逻辑判断）

‌6. 安全注意事项‌

‌XSS防护‌：在输出到HTML、XML或JavaScript时，必须转义用户输入。
‌上下文敏感‌：
- ‌HTML内容‌：转义<, >, &, ", '。
- ‌HTML属性‌：转义属性值中的引号。
- ‌JavaScript‌：使用\uXXXX格式转义特殊字符。

‌总结‌

‌场景‌	‌推荐方案‌
Web应用HTML输出	Thymeleaf/FreeMarker模板引擎
简单字符串处理	Apache Commons Text或Spring工具类
手动处理	自定义转义工具类
URL/JSON数据	URLEncoder或JSON库

合理选择自动转义方案，可大幅降低代码漏洞风险，确保数据安全输出。