张紫娃的博客

上传文件目前使用最广的是，Spring同样是在其基础上进行的封装。上传文件的信息头对name进行了长度限制，但是对filename未进行限制。

条件1：（影响版本）</</</</条件2：（业务场景）如下使用场景是否对上传文件数量和大小进行校验和限制1、调用的地方2、对二次封装的场景。

API若存在listarraymap等参数，可能导致通过导致服务DoS。

DoS是 “”（拒绝服务）的缩写，它是一种网络攻击方式，其目的是使目标计算机或网络资源无法为合法用户提供正常的服务。通过向目标系统发送大量请求、消耗其带宽、处理器或内存等资源，攻击者可以导致服务器过载并最终停止响应合法用户的请求。[Q&A]DDoS）分布式拒绝服务攻击则是利用多个计算机作为攻击源，同时对目标发起攻击，这种攻击往往规模更大、更难防御，因为它分散了攻击流量源头，使得防护设备难以通过屏蔽单个IP地址来阻止攻击。

StringEscapeUtils.escapeHtml4 作用是将特殊字符转换为它们对应的HTML实体形式，从而防止这些字符在网页中被解析为HTML标签或脚本，有助于防止跨站脚本攻击（XSS, Cross-Site Scripting）

跨站脚本攻击（Cross-Site Scripting，XSS）是一种针对网站应用程序的安全漏洞，允许攻击者将恶意脚本注入到其他用户查看的网页中。当这些用户访问受感染的页面时，他们的浏览器会执行这些恶意脚本，导致各种安全问题的发生，如窃取用户的会话信息、 cookie或其他敏感数据，以及对用户账户进行未经授权的操作等。

DOM（Document Object Model）注入攻击，也称为DOM型跨站脚本（DOM-based XSS, 或简称DXSS），是一种特殊的跨站脚本攻击方式。不同于传统的存储型XSS或反射型XSS，DOM注入攻击的关键在于客户端JavaScript动态修改了网页的DOM结构时引入了不受信任的数据。

JsonSanitizer.sanitize 是一个Java库中的方法，用于处理和净化JSON字符串，特别是针对跨站脚本攻击（XSS, Cross-Site Scripting）。

【代码】[实践总结] java XML解析防止外部实体注入。

1、优化正则表达式2、正则表达式无法优化的话，可以考虑限制匹配次数，或者限制匹配时间。

example.setOrderByClause("字段名1 ASC/DESC,字段名2 ASC/DESC,...");