Método recomendado para escapar de HTML em Java

Existe uma maneira recomendada para escapar <, >, "e &caracteres quando a saída HTML em código Java simples? (Além de fazer o seguinte manualmente).

String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = source.replace("<", "&lt;").replace("&", "&amp;"); // ...

StringEscapeUtils do Apache Commons Lang :

import static org.apache.commons.lang.StringEscapeUtils.escapeHtml;
// ...
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = escapeHtml(source);

Para a versão 3 :

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4;
// ...
String escaped = escapeHtml4(source);

Uma alternativa ao Apache Commons: use o método SpringHtmlUtils.htmlEscape(String input) .

Bom método curto:

public static String escapeHTML(String s) {
    StringBuilder out = new StringBuilder(Math.max(16, s.length()));
    for (int i = 0; i < s.length(); i++) {
        char c = s.charAt(i);
        if (c > 127 || c == '"' || c == '\'' || c == '<' || c == '>' || c == '&') {
            out.append("&#");
            out.append((int) c);
            out.append(';');
        } else {
            out.append(c);
        }
    }
    return out.toString();
}

Com base em https://stackoverflow.com/a/8838023/1199155 (o amplificador está ausente). Os quatro caracteres marcados na cláusula if são os únicos abaixo de 128, de acordo com http://www.w3.org/TR/html4/sgml/entities.html

Existe uma versão mais recente da biblioteca Apache Commons Lang e ela usa um nome de pacote diferente (org.apache.commons.lang3). O StringEscapeUtilsagora tem métodos estáticos diferentes para escapar de diferentes tipos de documentos ( http://commons.apache.org/proper/commons-lang/javadocs/api-3.0/index.html ). Então, para escapar da string HTML versão 4.0:

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4;

String output = escapeHtml4("The less than sign (<) and ampersand (&) must be escaped before using them in HTML");

Para quem usa o Google Guava:

import com.google.common.html.HtmlEscapers;
[...]
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = HtmlEscapers.htmlEscaper().escape(source);

No android (API 16 ou superior), você pode:

Html.escapeHtml(textToScape);

ou para API mais baixa:

TextUtils.htmlEncode(textToScape);

Tenha cuidado com isso. Existem vários 'contextos' diferentes em um documento HTML: dentro de um elemento, valor de atributo entre aspas, valor de atributo não entre aspas, atributo de URL, javascript, CSS, etc. Você precisará usar um método de codificação diferente para cada um dos para impedir a criação de scripts entre sites (XSS). Consulte a Folha de dicas de prevenção do OWASP XSS para obter detalhes sobre cada um desses contextos. Você pode encontrar métodos de escape para cada um desses contextos na biblioteca OWASP ESAPI - https://github.com/ESAPI/esapi-java-legacy .

Para alguns propósitos, HtmlUtils :

import org.springframework.web.util.HtmlUtils;
[...]
HtmlUtils.htmlEscapeDecimal("&"); //gives &
HtmlUtils.htmlEscape("&"); //gives &

Embora a resposta do @dfa org.apache.commons.lang.StringEscapeUtils.escapeHtmlseja boa e eu a tenha usado no passado, ela não deve ser usada para escapar dos atributos HTML (ou XML), caso contrário, o espaço em branco será normalizado (o que significa que todos os caracteres de espaço em branco adjacentes se tornarão um espaço único).

Eu sei disso porque tive bugs arquivados na minha biblioteca (JATL) para atributos em que o espaço em branco não foi preservado. Portanto, tenho uma queda na classe (copiar e colar) (da qual roubei algumas do JDOM) que diferencia o escape de atributos e conteúdo de elementos .

Embora isso possa não ter importado tanto no passado (escape adequado de atributos), ele se torna cada vez mais interessante, devido ao uso do data-atributo HTML5 .

org.apache.commons.lang3.StringEscapeUtils agora está obsoleto. Agora você deve usar org.apache.commons.text.StringEscapeUtils by

    <dependency>
        <groupId>org.apache.commons</groupId>
        <artifactId>commons-text</artifactId>
        <version>${commons.text.version}</version>
    </dependency>

A maioria das bibliotecas oferece escapar de tudo o que pode, incluindo centenas de símbolos e milhares de caracteres não ASCII, o que não é o que você deseja no mundo UTF-8.

Além disso, como Jeff Williams observou, não há uma opção única de "escape HTML", existem vários contextos.

Supondo que você nunca use atributos não citados, e tendo em mente que existem diferentes contextos, ele escreveu minha própria versão:

private static final long BODY_ESCAPE =
        1L << '&' | 1L << '<' | 1L << '>';
private static final long DOUBLE_QUOTED_ATTR_ESCAPE =
        1L << '"' | 1L << '&' | 1L << '<' | 1L << '>';
private static final long SINGLE_QUOTED_ATTR_ESCAPE =
        1L << '"' | 1L << '&' | 1L << '\'' | 1L << '<' | 1L << '>';

// 'quot' and 'apos' are 1 char longer than '#34' and '#39' which I've decided to use
private static final String REPLACEMENTS = "&#34;&amp;&#39;&lt;&gt;";
private static final int REPL_SLICES = /*  |0,   5,   10,  15, 19, 23*/
        5<<5 | 10<<10 | 15<<15 | 19<<20 | 23<<25;
// These 5-bit numbers packed into a single int
// are indices within REPLACEMENTS which is a 'flat' String[]

private static void appendEscaped(
        StringBuilder builder,
        CharSequence content,
        long escapes // pass BODY_ESCAPE or *_QUOTED_ATTR_ESCAPE here
) {
    int startIdx = 0, len = content.length();
    for (int i = 0; i < len; i++) {
        char c = content.charAt(i);
        long one;
        if (((c & 63) == c) && ((one = 1L << c) & escapes) != 0) {
        // -^^^^^^^^^^^^^^^   -^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
        // |                  | take only dangerous characters
        // | java shifts longs by 6 least significant bits,
        // | e. g. << 0b110111111 is same as >> 0b111111.
        // | Filter out bigger characters

            int index = Long.bitCount(SINGLE_QUOTED_ATTR_ESCAPE & (one - 1));
            builder.append(content, startIdx, i /* exclusive */)
                    .append(REPLACEMENTS,
                            REPL_SLICES >>> 5*index & 31,
                            REPL_SLICES >>> 5*(index+1) & 31);
            startIdx = i + 1;
        }
    }
    builder.append(content, startIdx, len);
}

Considere copiar e colar do Gist sem limite de comprimento de linha .