Programmiererforum

HtmlPolicyBuilder htmlPolicyBuilder = new HtmlPolicyBuilder();
stripAllTagsPolicy = htmlPolicyBuilder.toFactory();
stripAllTagsPolicy.sanitize('a+b'); // return a+b
stripAllTagsPolicy.sanitize('[email protected]'); // return foo@example.com

Ich benutze das OWASP -HTML -Desinfektionsmittel, um XSS -Angriffe in meiner Web -App zu verhindern. Für viele Felder, die ein einfacher Text sein sollten, tut der Desinfektionsmittel mehr als ich erwarte. < /p>

Zum Beispiel: < /p>

[code]HtmlPolicyBuilder htmlPolicyBuilder = new HtmlPolicyBuilder();
stripAllTagsPolicy = htmlPolicyBuilder.toFactory();
stripAllTagsPolicy.sanitize('a+b'); // return a&#43;b
stripAllTagsPolicy.sanitize('[email protected]'); // return foo&#64;example.com
[/code]

Wenn ich Felder wie eine E -Mail -Adresse habe, die ein + wie [email protected] enthält. Am Ende habe ich die falschen Daten in der Datenbank. Also zwei Fragen: < /p>


[*] Werden Zeichen wie + - @< /code> selbst gefährlich. Müssen sie wirklich codiert werden?
Wie konfiguriere ich den OWASP -HTML -Sanitierer so, dass bestimmte Zeichen wie + - @?>