Erstellen einer Whitelist zum Schutz vor XSS-Schwachstellen in einer Java-basierten Anwendung

Question

Ich schreibe einen Servlet-Filter, um die Site vor XSS-Schwachstellen zu schützen. Ich brauche eine Whitelist, die ich gegen HTTPRequest anwenden kann, so dass ich jedes bösartige Skript und Zeichen vermeiden kann.

Kann ich reguläre Ausdrücke als Whitelist verwenden? Welchen regulären Ausdruck soll ich verwenden, damit er alle Zeichen der URL enthält? Jede andere Lösung ist ebenfalls willkommen.

Bitte schlagen Sie mir vor, wie Sie eine Whitelist für die URL der Anwendung erstellen.

Vielen Dank im Voraus.

Update - Bitte markieren Sie nicht seine Down-Abstimmung. Sehen Sie meine Forschung in Kommentaren. Ich habe schon viel darüber recherchiert.

Answer 1

Sie müssen einen echten HTML-Parser verwenden, um XSS wie JSoup zu verhindern. Verwenden Sie keine Regex.

Hier ist ein einfacher Filter I für Spring Security, welche Blöcke (hoffentlich) aus allen eingehenden XSS:

http://blog.databasepatterns.com/2015/08/simple-inbound-xss-filter-for-spring.html

Sie es für eine nicht-Spring-Umgebung ändern könnten oder bestimmen Tags erlauben es, ähnlich wie Die @ Safe-HTML-Annotation des Hibernate-Validators funktioniert.

Answer 2

Sie können eine Kombination aus ESAPI, JSoup (hat eine Whitelist-Funktion) und JSR-303 verwenden, um gegen XSS zu protestieren.

einen Blick auf meine Antwort Nehmen Sie hier: How to Modify QueryParam and PathParam in Jersey 2