OWASP Java 编码器项目是否能够逃脱所有 XSS？

Question

OWASP Java 编码器项目是否能够逃脱所有 XSS？按方法

Encode.forHtmlContent(value)
Encode.forJavaScript(value)
Encode.forXml(value)

或者更好地使用其他解决方案？

您为 Java 应用程序建议使用哪种 OWASP 解决方案？

Answer 1

ESAPI 不再是 OWASP 的旗舰项目。 自 2013 年以来就没有发布过任何版本，这意味着该项目已经过时了。

如果您需要的只是输出转义，请使用编码器项目。 那个被维护了。

没有任何单一解决方案可以保证消除所有 XSS。您必须允许聪明的攻击者能够利用 HTML 清理程序中的错误。