使用不带区域设置的toUpperCase或者toLowerCase产生的不相等问题

最新推荐文章于 2024-04-29 14:23:48 发布

原创最新推荐文章于 2024-04-29 14:23:48 发布 · 3.2k 阅读

0 ·

CC 4.0 BY-SA版权

安全专栏收录该内容

4 篇文章

订阅专栏

本文探讨了在Java中处理字符串时区域设置的重要性，特别是在进行大小写转换和比较时。介绍了如何正确地使用`toUpperCase()`及`equalsIgnoreCase()`方法来避免因默认区域设置导致的安全隐患。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

对可能与区域设置相关的数据进行比较时，应指定相应的区域设置。

示例 1：以下示例尝试执行验证，以确定用户输入是否包含 <script> 标签

...
public String tagProcessor(String tag){
    if (tag.toUpperCase().equals("SCRIPT")){
        return null;
    }/
    /does not contain SCRIPT tag, keep processing input
    ...
}.
..

关于上述代码的问题是：在使用不带区域设置的 java.lang.String.toUpperCase() 时，其将使用默认的区域设置规则。使用土耳其区域设置
"title".toUpperCase() 时将返回 "T\u0130TLE"，其中 "\u0130" 是 "LATIN CAPITAL LETTER I WITH DOT ABOVE" 字符。这会导致生成意外结果，例

如，在示例 1 中，会导致此验证无法捕获 "script" 一词，从而可能造成跨站脚本攻击漏洞。

解决方案

为了防止出现此问题，请始终确保指定默认区域设置，或者指定可以接受这些字符（如 toUpperCase()）并带有 API 的区域设置。

以下示例通过手动方式将区域设置指定为 toUpperCase() 的参数。

import java.util.Locale;
...
public String tagProcessor(String tag){
    if (tag.toUpperCase(Locale.ENGLISH).equals("SCRIPT")){
    return null;
}/
/does not contain SCRIPT tag, keep processing input
...
}.
..

以下示例使用了函数 java.lang.String.equalsIgnoreCase() API 以防止出现此问题

...
public String tagProcessor(String tag){
    if (tag.equalsIgnoreCase("SCRIPT")){
    return null;
    }/
/does not contain SCRIPT tag, keep processing input
...
}.
..

因为 equalsIgnoreCase() 会更改与 Character.toLowerCase() 和 Character.toUpperCase() 类似的内容，所以可以防止此问题。这涉及到使用来
自 UnicodeData 文件（由 Unicode 联盟维护的 Unicode 字符数据库的一部分）的信息创建这两种字符串的临时标准格式。即使这可能会导致这些字符在被读取时以
不可读的方式呈现出来，但却能够在独立于区域设置的情况下进行比较。