如何在JSP页面中使用OWASP Java Encoder？

Question

我一直在寻找几个小时，但找不到一个关于如何做到这一点的明确例子。如果您可以向我展示一个保护页面接受输入数据然后在另一页上显示的示例，那将对我非常有帮助，非常感谢。

Answer 1

https://owasp.github.io/owasp-java-encoder/encoder-jsp/index.html

<%@taglib prefix="e" uri="https://www.owasp.org/index.php/OWASP_Java_Encoder_Project" %>

<p>Dynamic data via EL: ${e:forHtml(param.value)}</p>
<p>Dynamic data via tag: <e:forHtml value="${param.value}" /></p>

Answer 2

如果您不使用EL：

<%@ page import="org.owasp.encoder.Encode" %>

<% String encodedString = Encode.forHtml(request.getParameter("untrustedParam")); %>