Beetl解決XSS問題

標籤：http   java   使用   os   資料   for   2014   ar   

很多時候，我們為了安全，會對儲存的資訊，進行轉義，過濾等處理，這樣帶來的壞處是，破壞原始的資料，而且轉義會佔用多餘的空間．

本人使用ＪＦｉｎａｌ架構，開始考慮過全域設定過濾器，有的不需要的也會轉義，不是很友好～

後來發現這邊文章http://www.iteye.com/topic/1123423　，通過Ｂｅｅｔｌ來處理ＸＳＳ這一類的問題

首先，自訂一個格式化類XSSDefenseFormat.java

import org.apache.commons.lang.StringEscapeUtils;import org.beetl.core.Format;public class XSSDefenseFormat implements Format {    @Override    public Object format(Object data, String pattern) {        if (null == data) {            return null;        } else {            return StringEscapeUtils.escapeHtml((String) data);        }    }}

然後註冊該格式化

groupTemplate.registerFormat("xss", new XSSDefenseFormat());

最後針對需要的地方，進行ｘｓｓ處理

${a.name, xss}

使用結果不再彈出ａｌｅｒｔ提示

可以根據自己實際需求，自訂一些其他方法．