是否有ESAPI替代方法来执行SQL注入和XSS验证？

Question

是否还有其他方法来防止SQL注入和XSS攻击？我知道您可以为Java1.5或更高版本实现ESAPI，我的项目是在Java1.4上，需要实现ESAPI，防止SQL注入和XSS攻击，任何其他Java1.4库都是有用的。

Answer 1

是否还有其他方法来防止SQL注入和XSS攻击？

SQL: Java PreparedStatements从1.2开始就已经出现了。作为ESAPI -java遗留回购的共同所有者，您应该使用这些而不是ESAPI来进行适当的防御。ESAPI提供的SQL转义技术只是为了提供紧急救济，最终被参数化查询所取代。

XSS:没有我会相信的。我确信apache依赖于已知漏洞的库。

我的项目是在Java1.4上，需要实现ESAPI，防止SQL注入和XSS攻击，任何其他用于Java1.4的库都是有用的。

好吧，下一个版本有望在2017年9月底发布，不再支持Java1.6。ESAPI 1.4版本仍然可能与1.4一起工作，它已经知道了永远不会被修复的CVEs。在1.4岁的时候，ESAPI是世界上唯一这样做的公共图书馆。

顺便说一句:任何仍在生产中的应用程序(旧版)都可能存在比ESAPI这样的库更糟糕的问题。