Реализация ESAPI для тегов пружинной формы

После небольшого изучения пружинных тегов оказалось, что привязка данных происходит в коде фреймворка, что не позволяет вам применять какое-либо экранирование в jsp.

Во-первых, полубыстрая победа может заключаться в том, что весь вывод по умолчанию будет экранировать HTML. Добавьте эту запись в web.xml:

<context-param>
  <param-name>defaultHtmlEscape</param-name>
  <param-value>true</param-value>
</context-param>

Единственная проблема здесь заключается в том, что экранирование вывода - это БОЛЬШАЯ боль... правила экранирования html отличаются, когда ваше значение будет передано в виде данных в атрибут HTML или функцию Javascript. И могут быть некоторые части вашего приложения, где вы НЕ хотите экранировать html, но вы должны иметь возможность переопределять те с атрибутом тега формы htmlEscape="false", когда вам нужно.

Что вам нужно, так это иметь возможность перехватывать часть тегов Spring, где он привязывает HTML к форме, но вам нужно иметь возможность сделать это, чтобы вы могли уйти в зависимости от того, где он находится. Правила экранирования отличаются для HTMLAttribute, в отличие от простого HTML, и если значение будет передано в виде данных функции javascript. Таким образом, решение Spring защищает только одну категорию атак.

Это единственные выходы, которые я вижу, все они потребуют работы:

1. Используйте теги JSTL вместо тегов Spring, чтобы вы могли писать свои переменные с помощью ${thisSyntax} и заключать их в теги esapi следующим образом:

   <c:out value="<esapi:encodeForHTML>${variable}</esapi:encodeForHTML>"/>

2. Следуйте решению, как то, что @A. Павел выдвинул, где вы делаете свой контекст, убегающий обратно на стороне контроллера. Я знаю, что вы считаете, что это не вариант, но следующее решение, которое я предлагаю, еще не проверено.

3. Реализуйте собственную библиотеку тегов, которая является подклассом [org.springframework.web.servlet.tags.form.InputTag][1], в частности метод writeValue. Хотя esapi во многом препятствует, я бы порекомендовал взглянуть на новый проект Encodert, чтобы показать вам, насколько сложно кодировать выходные данные. В идеале ваша библиотека тегов позволит вам использовать кодировщик esapi или этот новый API.

Просто мысль не уверена, что это то, что вы ищете.

Можете ли вы использовать приведенный ниже код в Java и изменить данные в самом bean-компоненте, а затем отправить его в пользовательский интерфейс.

if ( ESAPI.securityConfiguration().getLogEncodingRequired() ) {
    data = ESAPI.encoder().encodeForHTML(message);
}

Вы можете проверить приведенный ниже URL. http://www.jtmelton.com/tag/esapi/