处理特殊字符

public class SecurityUtil {
	
	
	/**
	 * 处理特殊字符(Cross-site scripting (XSS))
	 *  // Filter the HTTP response using SecurityUtil.outputfilter 
	 *  PrintWriter out = response.getWriter(); 
	 *  // set output response
	 * 	out.write(SecurityUtil.outputfilter(response)); 
	 * 	out.close();
	 */
	public static String outputfilter(String value) {
		if (value == null) {
			return null;
		}
		StringBuffer result = new StringBuffer(value.length());
		for (int i=0; i<value.length(); ++i) {
			switch (value.charAt(i)) {
			case '<':
				result.append("<");
				break;
			case '>':
				result.append(">");
				break;
			case '"':
				result.append(""");
				break;
			case '\'':
				result.append("'");
				break;
			case '%':
				result.append("%");
				break;
			case ';':
				result.append(";");
				break;
			case '(':
				result.append("(");
				break;
			case ')':
				result.append(")");
				break;
			case '&':
				result.append("&");
				break;
			case '+':
				result.append("+");
				break;
			default:
				result.append(value.charAt(i));
			break;
			}
		}
		return result.toString();
	}


	
	/**
	 * 处理特殊字符(HTTP response splitting)
	 * 在HTTP响应头文件中包含未经过校验的数据会导致cache-poisoning，cross-site scripting，cross-user
	 * defacement或者page hijacking攻击。
	 * 应用程序应该屏蔽任何肯定要出现在HTTP响应头中、含有特殊字符的输入，特别是CR（回车符，也可由%0d或\r提供）和LF（换行符，也可由%0a或\n提供）字符，将它们当作非法字符。
	 * 
	 * @param str
	 * @return
	 */
	public static String fixHttpRS(String str){
		if (str==null){
			return null;
		}
		String str_temp = str;
	   
		while(true){
			if ((str_temp.indexOf("CR")==-1)&&(str_temp.indexOf("%0d")==-1)&&(str_temp.indexOf("\r")==-1)
				   &&(str_temp.indexOf("LF")==-1)&&(str_temp.indexOf("%0a")==-1)&&(str_temp.indexOf("\n")==-1)){
				break;
			}
			if (str_temp.indexOf("CR")!=-1){
				str_temp = str_temp.replaceAll("CR", "");
	   		}
 			if (str_temp.indexOf("%0d")!=-1){
 				str_temp = str_temp.replaceAll("%0d", "");
			}
 			if (str_temp.indexOf("\r")!=-1){
 				str_temp = str_temp.replaceAll("\r", "");
			}
			if (str_temp.indexOf("LF")!=-1){
				str_temp = str_temp.replaceAll("LF", "");
			}
			if (str_temp.indexOf("%0a")!=-1){
				str_temp = str_temp.replaceAll("%0a", "");
			}
			if (str_temp.indexOf("\n")!=-1){
				str_temp = str_temp.replaceAll("\n", "");
			}
	   	}

	    return str_temp.toString();
 	}
  
 	/**
	 * 处理SQLINJECTION(数据库注入攻击)
	 * 一些数据库输入语句可能导致数据库信息的泄漏
	 * 应用程序所使用数据库语句中的个关键字都应经过字符过滤，避免注入攻击。
	 * 
	 * @param str
	 * @return
	 */
	 public static String sqlfilter(String value) {
		
		 if (value == null) {
			 return null;
		 }
		 StringBuffer result = new StringBuffer(value.length());
		 for (int i=0; i<value.length(); ++i) {
			 switch (value.charAt(i)) {
			 case '\'':
				 result.append("'");
				 break;
			 case '-':
				 result.append("-");
				 break;
			 case '#':
				 result.append("#");
				 break;
			 case '"':
				 result.append(""");
				 break;
			 case '/':
				 result.append("/");
				 break;
			 case '

: result.append("$"); break; default: result.append(value.charAt(i)); break; } } return result.toString(); } public static void main( String[] args) { String str= "aa \r"; System.out.println(SecurityUtil.fixHttpRS(str)); System.out.println(SecurityUtil.outputfilter(str)); System.out.println(SecurityUtil.sqlfilter(str)); }}