Wie man eine XSS-Schwachstelle mit Struts verhindert

Question

Wir müssen in unserer Struts-Anwendung eine Anti-XSS-Unterstützung einbauen. Insbesondere verlangt der Architekt, dass alle Benutzereingaben vor der Speicherung in der DB "sanitized" werden müssen. Da ich das quadratische Rad nicht neu erfinden möchte, welche Java-Bibliothek kann ich dafür verwenden? Und wo kann ich sie unterbringen? Idealerweise sollte sie konfigurierbar sein (welche Eingabefelder geprüft werden sollen, nicht alle in der Anfrage) und schnell. Mein erster Gedanke ist Struts Validator.

Vielen Dank im Voraus Lluis

Answer 1

Ich empfehle Ihnen einen Blick auf OWASP's ESAPI-Projekt . Es befindet sich seit über einem Jahr in der Entwicklung und steht kurz vor der Veröffentlichung der Version 2.0.

Um in der Datenbank gespeicherte Werte zu entschlüsseln, können Sie die Methode Encoder.encodeForSQL() verwenden ( Referenzimplementierung ).

Für die Validierung von Eingaben können Sie sich den Validator ( Referenzimplementierung ).

Hinweis: Nach meinem Verständnis werden die Funktionen älterer Projekte wie Stinger und CSRFGuard in ESAPI aufgenommen.

Answer 2

Wenn Sie bei Google nach XSS Java Filter suchen, werden Sie viele Open-Source-Lösungen finden, wie zum Beispiel diese eine .

Sie können sich auch die OWASP-Validierungsprojekt .