java防xss攻击特殊字符转换为html实体

在Java中防止XSS（跨站脚本攻击）时，对用户输入的内容通常需要进行特殊的处理，以防恶意插入HTML标签或脚本执行。对于特殊字符，一种常见的做法是将其转换为HTML实体。例如：

1. **`htmlspecialchars()`函数**：这是Java中最常用的函数之一，它会将某些字符（如 `<`, `>`, `'`, `"`, `&`, `;` 等）转换为它们对应的HTML实体。这个函数可以应用于字符串，确保输出到网页的安全。

String input = "Hello <script>alert('XSS');</script>";
String safeOutput = org.apache.commons.lang3.StringEscapeUtils.htmlEscape(input);

2. **`org.apache.commons.lang3.StringEscapeUtils`**：Apache Commons Lang库提供了一个`htmlEscape()`方法，用于进行类似的操作。

3. **`outputEscaped()`方法**：如果你使用的是Spring MVC框架，可以在视图渲染时使用`outputEscaped="true"`属性，这会自动转义输出的字符串。

@RequestMapping("/example")
public String example(@RequestParam("input") String input) {
    return "YourPage", escapeSpecialChars(input);
}
// 在YourPage.jsp中使用${input}，Spring会自动做转义

private String escapeSpecialChars(String str) {
    return StringEscapeUtils.escapeHtml4(str);
}