从JavaWeb危险字符过滤浅谈ESAPI使用

      事先声明：只是浅谈，我也之用了这个组件的一点点。

      又到某重要XX时期(但愿此文给面临此需求的同仁有所帮助)，某Web应用第一次面临安全加固要求，AppScan的安全测试报告还是很清爽的，内容全面，提示建议到位，而且是中午哦，当然有的中文明显狗屁不通。

      之前此应用的后端架构相对比较稳固，所以出的重要问题主要出在靠近前端方向的问题，一些类似输出过滤这样的动作做的不到位，需要引入比较成熟的代码专门干这些活，翻了一下吴瀚清的同学《白帽子谈Web安全》推荐了OWASP的ESAPI，这个东西全面叫Enterprise Security API，官网地址：https://www.owasp.org/index.php/Category:OWASP_Enterprise_Security_API 到其主页上看看，好像提供了不少语言的分支版本，我就下了个JavaEE的版本，这个玩意功能很强大，直接来官方文档的特性列表吧：

The features in this release of ESAPI for Java EE include:
	ESAPI Core components
		ESAPI locator and interface classes.
		ESAPI security control reference implementations for the following security controls:
		Authentication
		Ide