preguntar acerca de html-escape-characters

HTML 4 déclare pretty caractères devrait être échappé: les références à des entités à quatre caractères méritent une mention spéciale puisqu'elles sont fréquemment utilisés pour échapper les caractères spéciaux: "" représente le signe>. …

Que dois-je faire pour empêcher XSS en MVC printemps? En ce moment, je ne fais que mettre tous les endroits où je sors du texte utilisateur dans les fonctions JSTL <c:out> tags ou fn:escapeXml() , mais cela semble sujet à erreur car je pourr …

J'utilise JavaScript pour extraire une valeur d'un champ caché et l'afficher dans une zone de texte. La valeur dans le champ caché est codée. par exemple, <input id='hiddenId' type='hidden' value='chalk &amp; cheese' /> …

sont-ils les mêmes que XML, peut-être plus l'espace one (&ampnbsp;)? j'ai trouvé quelques énormes listes de caractères HTML d'évasion mais je ne pense pas qu'ils doit être échappé. Je veux savoir ce dont a besoin pour s'échapper. …