ESAPI 中的编码器和规范化

Question

我了解 ESAPI 的用途，但我看到这两行在很多 ESAPI 示例中重复出现。有人可以解释一下这到底是做什么的吗？

ESAPI.encoder().canonicalize(inputUrl,false,false);

Answer 1

请参阅文档：

规范化只是将可能编码的字符串简化为其最简单形式的操作。这很重要，因为攻击者经常使用编码来更改其输入，从而绕过验证过滤器，但仍能被攻击目标正确解释。请注意，多次编码的数据不是普通用户会生成的内容，应被视为攻击。

在示例中设置为 false 的两个附加参数分别指示是否限制多重编码和混合编码（有关含义，请参阅文档）。