StringEscapeUtils的常用使用，防止SQL注入及XSS注入

 

StringEscapeUtils的常用使用，防止SQL注入及XSS注入

2017年10月20日 11:29:44 小狮王 阅读数：8974

 

引入common-lang-2.4.jar中
一个方便做转义的工具类，主要是为了防止sql注入，xss注入攻击的功能
官方参考文档
StringEscapeUtils.unescapeHtml(sname)
1.escapeSql 提供sql转移功能，防止sql注入攻击，
例如典型的万能密码攻击’ ’ or 1=1 ’ ‘

StringBuffer sql = new StringBuffer("select key_sn,remark,create_date from tb_selogon_key where 1=1 "); if(!CommUtil.isEmpty(keyWord)){ sql.append(" and like '%" + StringEscapeUtils.escapeSql(keyWord) + "%'"); }

• 1
• 2
• 3
• 4

2.escapeHtml /unescapeHtml 转义/反转义html脚本

System.out.println(StringEscapeUtils.escapeHtml("dddd")); 

• 1

输出结果为：dddd

System.out.println(StringEscapeUtils.unescapeHtml("dddd")); 

• 1

输出为：

<a>ddda>

• 1

3.escapeJavascript/unescapeJavascript 转义/反转义js脚本

System.out.println(StringEscapeUtils.escapeJavaScript("<script>alert('1111')script>")); 

• 1

输出为：
4.escapeJava/unescapeJava 把字符串转为unicode编码

System.out.println(StringEscapeUtils.escapeJava("中国")); 

• 1

输出为：用escapeJava方法转义之后的字符串为:/u4E2D/u56FD/u5171/u4EA7/u515A

转载于:https://www.cnblogs.com/libin6505/p/10443956.html