Validation du texte d'entrée sur les formulaires Web avec ESAPI

Question

Comment puis-je utiliser ESAPI pour vérifier les textes d'entrée dangereux sur les formulaires Web?Mon application est construite à l'aide de STRUTS 1.X, donc je suppose que les validations doivent être ajoutées aux classes d'actions.Tous les échantillons / tutoriels que vous recommandez?Merci.

Answer 1

Pour quelque chose comme spécifique qu'il n'y a généralement pas d'excellents tutoriels.

J'espère que je me trompe à ce sujet, mais je devrais suggérer leur wiki en raison du manque de bonnes ressources.

Je cherchais à trouver une validation d'entrée pour vous ... semble qu'ils ne l'ont même pas à eux-mêmes. Je ne trouve aucune information à ce sujet non plus. Les vidéos ci-dessous pourraient l'avoir ou je les écrirais si elle ne fournit aucune bonne réponse. Ils devraient pouvoir vous mettre dans la bonne direction ... et si vous faites cela, nous faisons tous une faveur et demandez-leur qu'ils mettent à jour leur wiki!

Email: Jeff.williams%owasp.org@gtempocount.com (Leader, propriétaire)

Puisque cet email n'a pas l'air bien, je vérifierais aussi celui-ci.

Email: kevin.w.wall@gmail.com (propriétaire, codeur de Crypto Libs)

Leurs sont ces vidéos YouTube qui pourrait aider. Ils mentionnent même que ce ne sont pas beaucoup de bonnes ressources pour vous apprendre à utiliser ESAPI, mais ont déclaré qu'ils espèrent résoudre ce problème dans ces quatre vidéos.

1. http://www.youtube.com/watch?v=suphwasb-to < / a>
2. http://www.youtube.com/watch?v=13o9ryJub3o < / li>
3. http://www.youtube.com/watch?v=_b2kv2msjhe < / li>
4. http://www.youtube.com/watch?v=MMW4FIUI5KQ < / li>

   J'espère que cela a aidé!

Answer 2

La validation des champs de formulaire est normalement effectuée dans la classe d'actionForm.Il existe toutes les valeurs d'entrée disponibles et toutes les validations peuvent être effectuées là-bas.Un tutoriel (l'un des nombreux autres disponibles) a trouvé ici StrutesValidation de formule et traitement des erreurs .Plus peut être trouvé à l'aide de Google (validation de Struts).

Answer 3

J'ai travaillé avec la bibliothèque ESAPI pendant quelques mois maintenant.La bibliothèque ne peut pas faire trop pour valider votre contribution, car elle ne peut pas savoir à quoi l'entrée pourrait être ou devrait être.Cela est particulièrement vrai lorsque vous facteur dans tous les caractères internationaux qui pourraient être dans une entrée légitime de l'utilisateur.

Nous utilisons la bibliothèque ESAPI principalement pour la sortie du serveur de codage.Le but est d'envoyer une entrée utilisateur (ou éventuelle d'attaquant) en arrière sur le navigateur de manière à ce qu'il ne puisse pas être exécuté.Au lieu de cela, HTML ou JavaScript l'interprètent comme texte uniquement.

C'est pourquoi mon codage de la contribution de l'utilisateur de mon validation et de l'ESAPI est important pour la sécurité.