JSP中使用<c:out>输出用户输入能否防护所有XSS攻击？

<c:out>能不能防护所有XSS？ #

答案是不能，但它能覆盖绝大多数常见的XSS场景。

<c:out>默认会转义5个XML特殊字符：

• & → &
• < → <
• > → >
• " → "
• ' → '

这种转义能有效阻止：

• HTML标签注入（比如输入<script>alert(1)</script>会被转义成无害文本）
• HTML属性闭合攻击（比如输入" onclick="alert(1)会被转义，没法闭合属性触发脚本）

但存在几个失效场景：

1. 手动关闭转义：如果设置了<c:out value="${userInput}" escapeXml="false"，等于完全放弃转义，直接输出原始内容，XSS风险拉满。
2. 输出到JavaScript代码块：<c:out>的XML转义不处理JS特殊字符（比如\、`、换行符），如果把用户输入直接插到<script>里，还是可能触发XSS。比如输入\");alert(1);//，<c:out>不会转义\，就能突破防护。
3. 输出到CSS样式块：XML转义对CSS的特殊字符（比如\、@）无效，插入恶意CSS规则可能引发XSS（比如利用expression()或现代浏览器的CSS漏洞）。

如何在JSP中有效防护XSS？ #

要根据输出场景选择对应的防护手段，没有一刀切的方案：

1. HTML内容/属性输出（最常用场景） #

直接用默认配置的<c:out>即可，这是最省心的方案。比如：

• 输出到HTML文本：<p><c:out value="${userInput}" /></p>
• 输出到HTML属性：<input type="text" value="<c:out value='${userInput}' />" />

2. JavaScript代码内输出 #

必须使用JS专用转义工具，比如OWASP ESAPI的Encoder.encodeForJavaScript()方法，它会转义所有JS特殊字符，确保输入在JS上下文里是安全的。示例：

<script>
  var userInput = '<%= Encoder.encodeForJavaScript(request.getParameter("input")) %>';
</script>

3. CSS样式内输出 #

用OWASP ESAPI的Encoder.encodeForCSS()处理输入，转义CSS特殊字符：

<style>
  .user-style { content: '<%= Encoder.encodeForCSS(userInput) %>'; }
</style>

4. 富文本场景（允许用户输入部分HTML） #

不要用<c:out>，改用白名单式HTML清理工具，比如Jsoup或OWASP HTML Sanitizer：

• 用Jsoup时，要自定义白名单规则，只允许安全的标签（如<p>、<b>）和属性，禁止<script>、on*事件属性等。比如：

String safeHtml = Jsoup.clean(userInput, Whitelist.basic().addAttributes("a", "href"));

这样既能保留合法的富文本格式，又能彻底阻断恶意脚本注入。

通用最佳实践 #

• 所有外部输入（URL参数、表单数据、数据库读取内容等）都要做处理，不要信任任何来源。
• 避免直接用${}表达式输出用户输入，除非你100%确定该场景不需要转义（几乎不存在这种情况）。
• 结合输入验证和输出编码：输入时校验格式（比如邮箱、手机号的正则校验），输出时按场景做对应编码，双重防护更稳妥。

内容的提问来源于stack exchange，提问作者LuMa