使用XML内容类型防止泽西岛的XSS攻击

Question

我正在使用内容类型作为JSON的泽西岛REST服务。为此，我使用AntiSamy过滤XSS攻击。

现在我需要支持，AntiSamy认为XML是一种威胁，我的所有请求都被抛出为攻击。

如何支持XML作为内容类型，并避免XSS攻击(过滤)？谢谢

Answer 1

由于AntiSamy无助于XML，所以我进行了基于regex的验证。

泽西豆验证在这里不起作用。使用ESAPI编码器和规范化输入，并使用regex验证，如http://java.dzone.com/articles/stronger-anti-cross-site中所述。

泽西岛的ContainerRequestFilter没有使用普通的过滤器。