JavaでHTMLをエスケープするための推奨される方法

脱出する推奨方法はあります<、>、"および&プレーンなJavaコードでHTMLを出力する際に、文字？（手動で以下を実行することを除いて、つまり）。

String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = source.replace("<", "&lt;").replace("&", "&amp;"); // ...

StringEscapeUtilsからのApache Commonsのラング：

import static org.apache.commons.lang.StringEscapeUtils.escapeHtml;
// ...
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = escapeHtml(source);

以下の場合、バージョン3：

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4;
// ...
String escaped = escapeHtml4(source);

Apache Commonsの代替：SpringのHtmlUtils.htmlEscape(String input)方法を使用します。

素敵な短い方法：

public static String escapeHTML(String s) {
    StringBuilder out = new StringBuilder(Math.max(16, s.length()));
    for (int i = 0; i < s.length(); i++) {
        char c = s.charAt(i);
        if (c > 127 || c == '"' || c == '\'' || c == '<' || c == '>' || c == '&') {
            out.append("&#");
            out.append((int) c);
            out.append(';');
        } else {
            out.append(c);
        }
    }
    return out.toString();
}

https://stackoverflow.com/a/8838023/1199155に基づいています（アンプがありません）。http://www.w3.org/TR/html4/sgml/entities.htmlによると、if句でチェックされる4文字は128未満の唯一の文字です。

Apache Commons Langライブラリの新しいバージョンがあり、別のパッケージ名（org.apache.commons.lang3）を使用しています。にStringEscapeUtilsは、さまざまなタイプのドキュメントをエスケープするためのさまざまな静的メソッドがあります（http://commons.apache.org/proper/commons-lang/javadocs/api-3.0/index.html）。したがって、HTMLバージョン4.0の文字列をエスケープするには：

import static org.apache.commons.lang3.StringEscapeUtils.escapeHtml4;

String output = escapeHtml4("The less than sign (<) and ampersand (&) must be escaped before using them in HTML");

Google Guavaを使用する場合：

import com.google.common.html.HtmlEscapers;
[...]
String source = "The less than sign (<) and ampersand (&) must be escaped before using them in HTML";
String escaped = HtmlEscapers.htmlEscaper().escape(source);

Android（API 16以降）では、次のことができます。

Html.escapeHtml(textToScape);

またはより低いAPIの場合：

TextUtils.htmlEncode(textToScape);

これに注意してください。HTMLドキュメント内には、さまざまな「コンテキスト」がいくつかあります：要素内、引用符付きの属性値、引用符なしの属性値、URL属性、JavaScript、CSSなど...それぞれに異なるエンコード方法を使用する必要があります。これらは、クロスサイトスクリプティング（XSS）を防止します。これらの各コンテキストの詳細については、OWASP XSS防止チートシートを確認してください。これらの各コンテキストのエスケープメソッドは、OWASP ESAPIライブラリ（https://github.com/ESAPI/esapi-java-legacy）にあります。

いくつかの目的のために、HtmlUtils：

import org.springframework.web.util.HtmlUtils;
[...]
HtmlUtils.htmlEscapeDecimal("&"); //gives &
HtmlUtils.htmlEscape("&"); //gives &

@dfaの答えorg.apache.commons.lang.StringEscapeUtils.escapeHtmlは素晴らしいですが、過去に使用しましたが、HTML（またはXML）属性のエスケープには使用しないでください。そうしないと、空白が正規化されます（つまり、隣接するすべての空白文字が1つのスペースになります）。

私がこれを知っているのは、空白が保持されなかった属性について、ライブラリ（JATL）に対してバグを報告したためです。したがって、私は属性（要素のコンテンツのエスケープ）を区別する（コピーと貼り付け）クラス（JDOMからいくつかを盗みました）のドロップを持っています。

これは以前はそれほど問題にならなかったかもしれませんが（適切な属性エスケープ）、HTML5のdata-属性使用法の使用を考えると、ますます関心が高まっています。

org.apache.commons.lang3.StringEscapeUtilsは非推奨になりました。ここでorg.apache.commons.text.StringEscapeUtilsを使用する必要があります

    <dependency>
        <groupId>org.apache.commons</groupId>
        <artifactId>commons-text</artifactId>
        <version>${commons.text.version}</version>
    </dependency>

ほとんどのライブラリは、何百ものシンボルや、ASCII以外の何千もの文字を含む、できる限りすべてをエスケープしますが、これはUTF-8の世界では望んでいないことです。

また、Jeff Williamsが述べたように、「エスケープHTML」オプションは1つではなく、いくつかのコンテキストがあります。

引用符で囲まれていない属性を決して使用しないと仮定し、異なるコンテキストが存在することを念頭に置いて、独自のバージョンを作成しました。

private static final long BODY_ESCAPE =
        1L << '&' | 1L << '<' | 1L << '>';
private static final long DOUBLE_QUOTED_ATTR_ESCAPE =
        1L << '"' | 1L << '&' | 1L << '<' | 1L << '>';
private static final long SINGLE_QUOTED_ATTR_ESCAPE =
        1L << '"' | 1L << '&' | 1L << '\'' | 1L << '<' | 1L << '>';

// 'quot' and 'apos' are 1 char longer than '#34' and '#39' which I've decided to use
private static final String REPLACEMENTS = "&#34;&amp;&#39;&lt;&gt;";
private static final int REPL_SLICES = /*  |0,   5,   10,  15, 19, 23*/
        5<<5 | 10<<10 | 15<<15 | 19<<20 | 23<<25;
// These 5-bit numbers packed into a single int
// are indices within REPLACEMENTS which is a 'flat' String[]

private static void appendEscaped(
        StringBuilder builder,
        CharSequence content,
        long escapes // pass BODY_ESCAPE or *_QUOTED_ATTR_ESCAPE here
) {
    int startIdx = 0, len = content.length();
    for (int i = 0; i < len; i++) {
        char c = content.charAt(i);
        long one;
        if (((c & 63) == c) && ((one = 1L << c) & escapes) != 0) {
        // -^^^^^^^^^^^^^^^   -^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
        // |                  | take only dangerous characters
        // | java shifts longs by 6 least significant bits,
        // | e. g. << 0b110111111 is same as >> 0b111111.
        // | Filter out bigger characters

            int index = Long.bitCount(SINGLE_QUOTED_ATTR_ESCAPE & (one - 1));
            builder.append(content, startIdx, i /* exclusive */)
                    .append(REPLACEMENTS,
                            REPL_SLICES >>> 5*index & 31,
                            REPL_SLICES >>> 5*(index+1) & 31);
            startIdx = i + 1;
        }
    }
    builder.append(content, startIdx, len);
}

行の長さの制限なしにGistからコピーして貼り付けることを検討してください。