Springboot ReqeustBody 输入验证 HTML 元素-解网

问：

我正在寻找一种方法来验证 Springboot 应用程序中 HTML 内容的请求正文字段，如下所示

{
    "name": "<img src=x onerror=alert(1)>",
    "value": "<img src=x onerror=alert(1)>"
}

我知道我可以使用javax.validation中的@Pattern（regexp = “[a-zA-Z]*”， message = “Name can only have letters”）。（在不同的用例中，我可能需要添加不同的复杂正则表达式来满足许多请求正文字段）。有没有其他方法可以阻止Springboot中的HTML元素？

Java Spring-Boot 验证请求

@Documented 
@Constraint(validatedBy = HtmlSanitizerValidator.class) 
@Target({ElementType.FIELD, ElementType.PARAMETER}) 
@Retention(RetentionPolicy.RUNTIME) 
public @interface SanitizeHtml { 
    String message() default "not allowed!!"; 
    Class<?>[] groups() default {}; 
    Class<? extends Payload>[] payload() default {}; 
}

为注释创建验证程序

public class HtmlSanitizerValidator implements ConstraintValidator<SanitizeHtml, String> { 
    @Override 
    public boolean isValid(String untrustedHTML, ConstraintValidatorContext context) {
        if (untrustedHTML == null) { return true; }

        PolicyFactory policy = Sanitizers.FORMATTING.and(Sanitizers.LINKS);
        String safeHTML = policy.sanitize(untrustedHTML);

        return untrustedHTML.equals(safeHTML); //if true, this means there is no HTML content, but false means there have been an attack!! 
    } 
}

为您的字段使用注释：

public class yourDto { 
    @SanitizeHtml 
    private String name; 

    @SanitizeHtml 
    private String value; 
}

希望这对你有所帮助！

铌：只要确保如果你想在你的safeHTML中允许Html标签，但要确保它显示为纯文本而不执行任何有害的代码，你可以使用它（注意依赖关系）：

String safeHTML = Encode.forHtml(untrustedHTML)

而不是：

PolicyFactory policy = Sanitizers.FORMATTING.and(Sanitizers.LINKS);
String safeHTML = policy.sanitize(untrustedHTML);

这是 Github 存储库，用于更多： https://github.com/OWASP/java-html-sanitizer

上一个：Spring Boot 验证 POST 方法

下一个：错误“约束为 java.util.UUID 类型定义了多个验证程序”，尽管只使用了单个验证程序

Springboot ReqeustBody 输入验证 HTML 元素

Springboot ReqeustBody input Validation for HTML elements

评论