Jak odkażać kod HTML w Javie, aby zapobiec atakom XSS?

Question

Szukam klasy/utylizacji itp. W celu odkażenia kodu HTML, tj. Usunięcia niebezpiecznych znaczników, atrybutów i wartości, aby uniknąć XSS i podobnych ataków.

Otrzymuję kod html z edytora tekstu formatowanego (np. TinyMCE), ale można go wysłać złośliwie, zastępując sprawdzanie TinyMCE ("Dane przesłane poza formularzem").

Czy jest coś tak prostego w użyciu jak InputFilter w PHP? Idealne rozwiązanie mogę sobie wyobrazić, jak to działa (zakładamy Sanitizer jest zamknięty w klasie HtmlSanitizer):

String unsanitized = "...<...>...";   // some potentially 
               // dangerous html here on input 

HtmlSanitizer sat = new HtmlSanitizer();  // sanitizer util class created 

String sanitized = sat.sanitize(unsanitized); // voila - sanitized is safe... 

---

Aktualizacja - prostsze rozwiązanie, tym lepiej! Niewielka klasa użytkowa z tak niewielkimi zewnętrznymi zależnościami od innych bibliotek/frameworków, jak to możliwe - byłaby dla mnie najlepsza.

---

Co z tym?

Answer 1

Można użyć OWASP ESAPI for Java, która jest biblioteką zabezpieczeń zbudowaną do wykonywania takich operacji.

Ma nie tylko kodery do HTML, ale także enkodery do kodowania JavaScript, CSS i URL. Sample uses of ESAPI można znaleźć w skorowidze zapobiegania XSS opublikowanej przez OWASP.

Możesz użyć projektu OWASP AntiSamy do zdefiniowania polityki witryny określającej, co jest dozwolone w treści przesłanej przez użytkownika. Zasady serwisu można później wykorzystać do uzyskania "czystego" HTML, który jest wyświetlany z powrotem. Na AntiSamy downloads page można znaleźć próbkę TinyMCE policy file.

Answer 2

chodzi Antisamy, możesz to sprawdzić w odniesieniu do zależności:

http://code.google.com/p/owaspantisamy/issues/detail?id=95&can=1&q=redyetidave

Answer 3

HTML ucieczce wejść działa bardzo dobrze. Ale w niektórych przypadkach reguły biznesowe mogą wymagać, abyś NIE uciekł z HTML. Używanie REGEX nie nadaje się do tego zadania i trudno jest znaleźć dobre rozwiązanie z jego wykorzystaniem.

Najlepszym rozwiązaniem znalazłem używać: http://jsoup.org/cookbook/cleaning-html/whitelist-sanitizer

To buduje drzewa DOM z dostarczonego wejściowych i filtruje żadnego elementu nie previosly dozwolonych przez białej listy. Interfejs API ma również inne funkcje do czyszczenia html.

I to może być również używany z javax.validation @SafeHtml (whitelistType =, =) additionalTags

Answer 4

Można spróbować OWASP Java HTML Sanitizer. Jest bardzo prosty w użyciu.

PolicyFactory policy = new HtmlPolicyBuilder() 
    .allowElements("a") 
    .allowUrlProtocols("https") 
    .allowAttributes("href").onElements("a") 
    .requireRelNofollowOnLinks() 
    .build(); 

String safeHTML = policy.sanitize(untrustedHTML); 

Answer 5

Dzięki @ Saljack's answer. Wystarczy opracować więcej do OWASP Java HTML Sanitizer. Udało mi się to bardzo dobrze (szybko). Właśnie dodałem do pom.xml w moim projekcie Maven:

<dependency> 
     <groupId>com.googlecode.owasp-java-html-sanitizer</groupId> 
     <artifactId>owasp-java-html-sanitizer</artifactId> 
     <version>20150501.1</version> 
    </dependency> 

Sprawdź najnowszą wersję na temat here.

Następnie dodano tę funkcję dezynfekcji:

private String sanitizeHTML(String untrustedHTML){ 
     PolicyFactory policy = new HtmlPolicyBuilder() 
      .allowAttributes("src").onElements("img") 
      .allowAttributes("href").onElements("a") 
      .allowStandardUrlProtocols() 
      .allowElements(
      "a", "img" 
      ).toFactory(); 

     return policy.sanitize(untrustedHTML); 
    } 

więcej znaczników można dodawać poprzez rozszerzenie przecinek ograniczony parametr w sposobie allowElements.

Wystarczy dodać tę linię przed minięciu fasoli off, aby zapisać dane:

bean.setHtml(sanitizeHTML(bean.getHtml())); 

To jest to!

Dla bardziej złożonej logiki, biblioteka ta jest bardzo elastyczna i może obsługiwać bardziej zaawansowaną implementację sanityzacji.