java 防止 html注入

在Java中防止HTML注入主要是为了保护应用程序免受恶意用户通过插入HTML标签或脚本来破坏前端显示或安全漏洞的影响。以下是一些常用的预防措施：

1. **使用`HttpUtility.HtmlEscape()`**：这个函数可以将特殊字符转换为HTML实体，如将`<`转为`&lt;`。这能防止浏览器将其解析为HTML元素。

String userInput = request.getParameter("username");
String escapedInput = org.apache.commons.lang.StringEscapeUtils.escapeHtml4(userInput);

2. **使用`PreparedStatement`**：当从数据库查询数据并显示到页面上时，使用预编译的SQL语句（PreparedStatement），而不是直接拼接字符串，可以避免SQL注入攻击。因为预编译会自动处理输入值的安全性。

String userInput = ...;
PreparedStatement pstmt = conn.prepareStatement("SELECT * FROM users WHERE username = ?");
pstmt.setString(1, userInput);
ResultSet rs = pstmt.executeQuery();

3. **内容安全策略（Content Security Policy, CSP）**：在服务器端设置合适的CSP头，可以限制哪些资源（比如CSS、JavaScript等）可以加载，进一步控制客户端接收的内容。

4. **输入验证和过滤**：对用户的输入进行严格的校验，只允许预期格式的数据，例如数字、字母等，禁止特殊字符。

5. **使用ORM框架**：如Hibernate等，它们通常提供内置的防御机制来处理数据绑定和查询参数。