Existe-t-il une contrepartie Java pour la prévention XSS d'Aspnet 4 <%: %>?

Question

Je suis développeur en passant de C# à Java. Entendu parler de la nouvelle fonctionnalité nette ASP. <%:%>. Il rend l'objet avec un encodage html. Seules ces interfaces IHtmlString impolimentantes ne sont pas codées (pour éviter le double encodage). En voir plus dans http://weblogs.asp.net/scottgu/archive/2010/04/06/new-lt-gt-syntax-for-html-encoding-output-in-asp-net-4-and-asp-net-mvc-2.aspx

Est-ce qu'un outil si mignon dans le côté de Java? Je veux dire un moyen de sortir une chaîne de caractères vers une page Web et de ne pas l'encoder en fonction de son type.

Answer 1

Au meilleur.. de ma connaissance, il n'y a rien dans java qui fait cela.Vous pouvez créer votre propre taglib pour mettre en œuvre une telle chose cependant

Answer 2

Pas tout à fait sûr que c'est ce dont vous avez besoin, mais nous utilisons c:out dans nos JSP dans un but similaire. Voir ici: http://java.sun.com/products/jsp/jstl/1.1/docs/tlddocs/c/out.html

Via escapeXml vous pouvez spécifier si les caractères <,>, &, ', » dans la chaîne résultante doit être convertie en leurs codes d'entité de caractères correspondant valeur par défaut est true