Как распознать html escaping

Question

[1nd1go]

Приветствую!

Есть сервис, с которого мы получаем контент для отображения на сайте. Сервис иногда переколбашивает, и мы получаем html escaped контент, а иногда нет.

Так как мы эскейпим все равно при выводе, то в первом случае мы отображаем html код.

Повлиять на сервис мы не можем.

Есть ли тулы, желательно на java, но описание подхода тоже подойдет, чтобы понять есть ли эскейпинг в контенте?

Спасибо

Comments

[pel]

Escaped ($got = "<a href=\"/blabla.html\">Bla \"Bla-bla\"</a>")
или entity encoded ($got = "&lt;a href=&quot;/blabla.html&quot;>Bla &quot;Bla-bla&quot;&lt;/a&gt;")?

[1nd1go]

Термин один и тот же, согласно OWASP, но в вашем вопросе номер 2

Answer 1

[Melkij]

Тупо проверять на наличие < и >?

Comments

[1nd1go]

Да, но ведь я не уверен что там есть тэги. Например приходит текст: Tom and Jerry, или Tom & Jerry или Tom & Jerry.

Всю таблицу таблицу спец символов не прогонишь через инпут :(

[Melkij]

А зачем всю?
& " ' < > достаточно должно быть.

А если вам нужна 100% гарантия результата — то в любом случае же, явно или неявно, будет прогоняться вся таблица мнемоник.

[1nd1go]

Да, возможно действительно стоит ограничится подсетом.

Answer 2

[Вячеслав Плиско]

не на java
php.net/manual/ru/function.htmlspecialchars.php
есть параметр который проверяет на двойное экранирование, выставьте его в false
bool $double_encode = true

в общем случае не стоит забывать, что даже если вам пришол кажись заескейпенный кусок, то не нужно считать что весь текст заескейпен.

Comments

[1nd1go]

О, это хорошая вещь! интересно, они проверяют это как повторение слова, которое идет после &? Исходника этой функции где можно найти?

[Riateche]

Исходник: качаете исходный код здесь, смотрите функцию php_escape_html_entities_ex в файле ext/standard/html.c.