对输入文字的敏感词过滤以及 XSS 特殊字符过滤什么方案比较好？

Question

java web 项目里 post 提交的内容里，其实有很多输入不需要敏感词过滤以及 XSS 特殊字符过滤 譬如 select 下拉框选项，输入都是确定的内容 只是那些文本框 input 需要过滤 如果用过滤器，那就会对所有的输入进行过滤 这显然不太好，开销太大 对输入文字的敏感词过滤以及 XSS 特殊字符过滤什么方案比较好？ 我现在做法 @Override public String getParameter(String name) { String value = super.getParameter(name); if (value != null) { value = filterSensitiveWords(value); } return value; } 但是这样做不到区别对待最关键的是： 如何区分对待

Answer 1

只要内容是用户产生的，都要“原样显示”。后端模板都有相关机制处理，前端的框架也有。

Answer 2

前端产生的数据并不可靠，懂行的人可以轻易绕过前端设置的各种校验规则。
安全起见，后端在入库前应对前端产生的所有数据进行过滤处理。
这点性能开销，远比留下安全隐患划得来。

Answer 3

可以自定义一个文本框input html标签，带有一个特殊的属性，给希望过滤的input标签加上这个属性，后台根据属性判断是否过滤

Answer 4

要看内容格式，如果是 JS 的话，可以考虑Apache commons-lang escapeJavascript 方法

Answer 5

全部统一过滤，含有富文本的单独过滤