Class XSSUtils

java.lang.Object
tech.riemann.nif.utils.XSSUtils
public class XSSUtils extends Object
XSS工具类，用于检测和过滤跨站脚本攻击风险

定位说明(M18-低级):本工具(utils 模块)为通用检测/编码工具,规则与 web 模块的 tech.riemann.nif.web.xss.utils.XssFilters(H4 修复版,web 层 WAF 使用)不完全一致—— 框架入站/出站防护走 XssFilters,本工具供业务侧自行调用;规则差异以 XssFilters 为准

Author:
王贵源(kerbores@gmail.com)

  • Constructor Details

    • XSSUtils

      public XSSUtils()

  • Method Details

    • containsXSSRisk

      public static boolean containsXSSRisk(String input)
      检查输入字符串是否包含潜在的XSS注入风险
      Parameters:
      input - 要检查的输入字符串
      Returns:
      如果输入字符串包含潜在的XSS模式，返回true；否则返回false

    • escape

      public static String escape(String input)
      对输入做 HTML 实体编码(M18 修复:编码式而非删除式)

      将 invalid input: '<' > & " ' 编码为 HTML 实体——危险标签/属性无法形成,且不删除任何数据, 嵌套拼接的标签变形(如先写一半标签再拼接另一半)经编码后仅显示为文本,无删除式清理的绕过面。

      注意:本方法只做实体编码,不检测 javascript: 等协议注入(纯文本无 HTML 特殊字符时编码无效)——检测请用 containsXSSRisk(String)

      Parameters:
      input - 要过滤的输入字符串
      Returns:
      编码后的字符串(数据完整保留)