Prevenindo ataques de html injection

E depois exibir um post para outros usuários que visitassem o site, com a seguinte jsp:

Uma aplicação simples como essa já está sujeito a ataques de HTML injection. Se o usuário colocasse na descrição de seu post qualquer texto contendo código html como <script>alert("olá");</script>, esse código seria executado no navegador de todos os visitantes do seu post, possibilitando ataques de XSS. Por esse motivo, você nunca deve confiar em dados inseridos pelo seu usuário.

Primeira tentativa: escapando todos os dados

A primeira solução é simples. Usando jsp e a jstl, podemos simplesmente escapar os dados inseridos pelo usuário. Nossa jsp com o seguinte código:

Resolvido, certo? Caso o usuário inserisse a tag <script> ela seria enviada ao navegador como <script>, e portanto não seria interpretada como uma tag html.

Essa solução é suficiente para o título da pergunta, mas suponha agora que gostaríamos de permitir que o usuário pudesse formatar a descrição de seu post. Seria interessante que ele pudesse dar destaque a certos trechos de seu post deixando trechos em negrito ou monospaced, por exemplo (uma feature bastante comum em qualquer aplicação que apresenta conteúdo do usuário).

Nesse caso, apenas escapar todo o html não basta, precisamos de uma solução mais esperta, permitindo que certas tags sejam interpretadas pelo navegador.

Sanitizando o conteúdo

Poderíamos resolver o caso específico do <script>alert("olá")</script> em java fazendo simplesmente: descricao = descricao.replaceAll("<script>", "").replaceAll("</script>", ""). Porém, veja que essa solução é bastante inocente e o problema é mais complexo do que parece. Um usuário mal intencionado pode facilmente entender como sua aplicação está sanitizando os dados testando algumas vezes o seu formulário. Suponha então que ele insira:

Ao fazer as duas chamadas do replaceAll, o resultado é o seguinte: <script>alert("olá");</script>. Caímos de novo no mesmo problema. Podemos aprimorar nosso algoritmo ingênuo para solucionar esse caso, mas existe uma infinidade de corner cases que podemos esquecer. Além disso, uma solução robusta definitivamente não faz parte das prioridades da aplicação que estamos desenvolvendo.

Considerando a complexidade do problema, diversas bibliotecas foram desenvolvidas para sanitizar conteúdo a ser exibido na web. Uma das bibliotecas mais famosas e robustas é o OWASP-Java. O Sergio Lopes já havia escrito sobre ela nesse post, mas a API mudou bastante. Para utilizar é simples, você especifica quais tags você deseja liberar na entrada e ele constrói o sanitizador:

Assim, no código da nossa aplicação podemos utilizar o sanitizador na entrada do usuário:

Agora, na jsp podemos continuar escapando o título do post, já na descrição podemos exibir a descrição da forma como foi salva pelo nosso dao:

Repare que podem haver diversos outros casos, outros pontos onde a injeção pode ser feita. XSS é um assunto que merece sua atenção.