Método recomendado para escapar de HTML en Java

¿Hay un método recomendado para escapar <, >, "y &caracteres cuando se da salida HTML en código Java normal? (Aparte de hacer manualmente lo siguiente, es decir).

String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = source.replace("<", "&lt;").replace("&", "&amp;"); // ...

StringEscapeUtils de Apache Commons Lang :

import static org.apache.commons.lang.StringEscapeUtils.escapeHtml;
// ...
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = escapeHtml(source);

Para la versión 3 :

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4;
// ...
String escaped = escapeHtml4(source);

Una alternativa a Apache Commons: uso el HtmlUtils.htmlEscape(String input)método de Spring .

Buen método corto:

public static String escapeHTML(String s) {
    StringBuilder out = new StringBuilder(Math.max(16, s.length()));
    for (int i = 0; i < s.length(); i++) {
        char c = s.charAt(i);
        if (c > 127 || c == '"' || c == '\'' || c == '<' || c == '>' || c == '&') {
            out.append("&#");
            out.append((int) c);
            out.append(';');
        } else {
            out.append(c);
        }
    }
    return out.toString();
}

Basado en https://stackoverflow.com/a/8838023/1199155 (falta el amplificador allí). Los cuatro caracteres marcados en la cláusula if son los únicos inferiores a 128, de acuerdo con http://www.w3.org/TR/html4/sgml/entities.html

Hay una versión más reciente de la biblioteca Lang de Apache Commons y utiliza un nombre de paquete diferente (org.apache.commons.lang3). El StringEscapeUtilsahora tiene diferentes métodos estáticos para escapar de diferentes tipos de documentos ( http://commons.apache.org/proper/commons-lang/javadocs/api-3.0/index.html ). Entonces, para escapar de la cadena HTML versión 4.0:

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4;

String output = escapeHtml4("The less than sign (<) and ampersand (&) must be escaped before using them in HTML");

Para aquellos que usan Google Guava:

import com.google.common.html.HtmlEscapers;
[...]
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = HtmlEscapers.htmlEscaper().escape(source);

En Android (API 16 o superior) puedes:

Html.escapeHtml(textToScape);

o para API inferior:

TextUtils.htmlEncode(textToScape);

Ten cuidado con esto. Hay un número de 'contextos' diferentes dentro de un documento HTML: dentro de un elemento, valor de atributo entre comillas, valor de atributo sin comillas, atributo URL, javascript, CSS, etc. Deberá usar un método de codificación diferente para cada uno de ellos. estos para evitar secuencias de comandos entre sitios (XSS). Consulte la hoja de trucos de prevención OWASP XSS para obtener detalles sobre cada uno de estos contextos. Puede encontrar métodos de escape para cada uno de estos contextos en la biblioteca OWASP ESAPI: https://github.com/ESAPI/esapi-java-legacy .

Para algunos propósitos, HtmlUtils :

import org.springframework.web.util.HtmlUtils;
[...]
HtmlUtils.htmlEscapeDecimal("&"); //gives &
HtmlUtils.htmlEscape("&"); //gives &

Si bien la respuesta @dfa de org.apache.commons.lang.StringEscapeUtils.escapeHtmles agradable y la he usado en el pasado, no debería usarse para escapar de los atributos HTML (o XML) contrario, el espacio en blanco se normalizará (lo que significa que todos los caracteres de espacio en blanco adyacentes se convierten en un solo espacio).

Sé esto porque he tenido errores archivados en mi biblioteca (JATL) para los atributos donde no se conservó el espacio en blanco. Por lo tanto, tengo una clase de caída (copiar y pegar) (de la que robé algunos de JDOM) que diferencia el escape de atributos y contenido de elementos .

Si bien esto puede no haber importado tanto en el pasado (escape de atributo adecuado), cada vez tiene más interés dado el uso del uso de data-atributos de HTML5 .

org.apache.commons.lang3.StringEscapeUtils ahora está en desuso. Ahora debe usar org.apache.commons.text.StringEscapeUtils por

    <dependency>
        <groupId>org.apache.commons</groupId>
        <artifactId>commons-text</artifactId>
        <version>${commons.text.version}</version>
    </dependency>

La mayoría de las bibliotecas ofrecen escapar de todo lo que pueden, incluidos cientos de símbolos y miles de caracteres que no son ASCII, que no es lo que quieres en el mundo UTF-8.

Además, como señaló Jeff Williams, no existe una única opción de "escape HTML", hay varios contextos.

Suponiendo que nunca use atributos sin comillas, y teniendo en cuenta que existen diferentes contextos, he escrito mi propia versión:

private static final long BODY_ESCAPE =
        1L << '&' | 1L << '<' | 1L << '>';
private static final long DOUBLE_QUOTED_ATTR_ESCAPE =
        1L << '"' | 1L << '&' | 1L << '<' | 1L << '>';
private static final long SINGLE_QUOTED_ATTR_ESCAPE =
        1L << '"' | 1L << '&' | 1L << '\'' | 1L << '<' | 1L << '>';

// 'quot' and 'apos' are 1 char longer than '#34' and '#39' which I've decided to use
private static final String REPLACEMENTS = "&#34;&amp;&#39;&lt;&gt;";
private static final int REPL_SLICES = /*  |0,   5,   10,  15, 19, 23*/
        5<<5 | 10<<10 | 15<<15 | 19<<20 | 23<<25;
// These 5-bit numbers packed into a single int
// are indices within REPLACEMENTS which is a 'flat' String[]

private static void appendEscaped(
        StringBuilder builder,
        CharSequence content,
        long escapes // pass BODY_ESCAPE or *_QUOTED_ATTR_ESCAPE here
) {
    int startIdx = 0, len = content.length();
    for (int i = 0; i < len; i++) {
        char c = content.charAt(i);
        long one;
        if (((c & 63) == c) && ((one = 1L << c) & escapes) != 0) {
        // -^^^^^^^^^^^^^^^   -^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
        // |                  | take only dangerous characters
        // | java shifts longs by 6 least significant bits,
        // | e. g. << 0b110111111 is same as >> 0b111111.
        // | Filter out bigger characters

            int index = Long.bitCount(SINGLE_QUOTED_ATTR_ESCAPE & (one - 1));
            builder.append(content, startIdx, i /* exclusive */)
                    .append(REPLACEMENTS,
                            REPL_SLICES >>> 5*index & 31,
                            REPL_SLICES >>> 5*(index+1) & 31);
            startIdx = i + 1;
        }
    }
    builder.append(content, startIdx, len);
}

Considere copiar y pegar desde Gist sin límite de longitud de línea .