IntelliJ中导入org.owasp.esapi报错，求ESAPI正确使用方法

一、解决"Cannot resolve symbol 'owasp'"导入错误 #

按以下步骤逐一排查：

• 刷新Maven依赖：在IntelliJ的Maven面板点击刷新按钮（🔄），或者在终端执行mvn clean install -U，强制更新依赖包。
• 检查本地仓库依赖：打开本地Maven仓库路径（默认~/.m2/repository/org/owasp），确认esapi/2.5.0.0和encoder/1.2.3目录是否存在且文件完整。如果缺失，换用国内Maven镜像重新下载。
• 关闭IntelliJ离线模式：依次进入File → Settings → Build, Execution, Deployment → Build Tools → Maven，取消勾选"Work offline"选项，确保能拉取远程依赖。
• 清理缓存重启：执行File → Invalidate Caches...，勾选"Clear file system cache and local history"后重启IntelliJ，修复缓存导致的识别问题。

二、用ESAPI规避SLF4J日志的CRLF注入风险 #

CRLF注入会让攻击者通过插入\r\n伪造日志条目，ESAPI提供两种适配SLF4J的解决方案：

方案1：直接使用ESAPI自带Logger（推荐） #

ESAPI的Logger会自动处理CRLF等危险字符，无需手动编码：

import org.owasp.esapi.ESAPI;
import org.owasp.esapi.Logger;

// 初始化ESAPI Logger
Logger esapiLogger = ESAPI.getLogger(YourClassName.class);

// 直接传入用户输入，ESAPI自动处理CRLF
String userInput = "恶意输入\r\n伪造日志行";
esapiLogger.info(Logger.EVENT_SUCCESS, "用户提交内容：{}", userInput);

方案2：结合SLF4J+ESAPI编码工具 #

如果要保留SLF4J的使用习惯，先对用户输入做日志专用编码，再传入SLF4J：

import org.owasp.esapi.ESAPI;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;

Logger slf4jLogger = LoggerFactory.getLogger(YourClassName.class);
String userInput = "恶意输入\r\n伪造日志行";

// 用ESAPI的encodeForLog方法转义CRLF等特殊字符
String safeInput = ESAPI.encoder().encodeForLog(userInput);
slf4jLogger.info("用户提交内容：{}", safeInput);

注意事项 #

• 必须配置ESAPI：在src/main/resources下添加ESAPI.properties和validation.properties（可从ESAPI依赖包的resources目录拷贝默认配置，按需调整），否则ESAPI初始化会失败。
• encodeForLog会将\r转义为\r字符串、\n转义为\n字符串，既避免日志伪造，又保留原始内容的可读性。

内容的提问来源于stack exchange，提问作者jdk