在Java中匹配和替换“${foo}”而不是“<c:if test="${foo}" />”的正则表达式

Question

虽然任何人都会探索this question，但显而易见的问题是，是否有任何可能匹配的正则表达式

${foo}

但不是

<c:if test="${foo}" />

或

<c:when test="${foo}" />

要将那些独立的${foo} 替换为<c:out value="${foo}" />，这里foo 可以是任何字符串，只要${foo} 在jsp 中是有效的el expression。

编辑：

${foo} 可以在任何地方，只要它在替换后不违反jsp 语法！这只是防止XXS attack 在jsp 中的预防措施。

Answer 1

说明

此正则表达式将找到不在 <c:.... test="${foo}" /> 块内的裸 ${foo}

正则表达式：(?!("))\$\{[^}]*\}(?!")

替换为<c:out value="$0" />

输入文字：<c:if test="${foo man chu}" />${foo bar}more text here

输出文本：<c:if test="${foo man chu}" /><c:out value="${foo bar}" />more text here

---

要处理${foo.bar} 可能位于` 标签内的其他边缘情况，您可能需要使用此正则表达式

正则表达式：(?!("))(\$\{[^}]*\})(?!")|(<a\b[^>]*\bhref=")(\$\{[^}]*\})(")

替换为：$3<c:out value="$1$2$4" />$5

输入文字：<c:if test="${foo man chu}" />${foo bar}more <a href="${foo.name}" />text here

输出文本：<c:if test="${foo man chu}" /><c:out value="${foo bar}" />more <a href="<c:out value="${foo.name}" />" />text here

Answer 2

以下正则表达式应该适用于您的示例：

\${[^}]*}(?![^<>]*>)

现场演示：http://www.rubular.com/r/ICdR4TGQXu

虽然我认为这对于一些罕见的情况可能仍然会产生误报。

Answer 3

我相信您可能正在尝试在支持按正则表达式查找功能的文本编辑器中编辑您的 JSP。否则尝试解析您的 JSP（如 @fge 指出的）是不明智的。

这是一个匹配 ${foo} 但不匹配 ="${foo}" 的正则表达式

(?<!=")\${foo}(?!")

有效消除<c:if test="${foo}" /> 或<c:when test="${foo}" /> 上的匹配

Answer 4

试试这个

str = str.replaceAll("(?<!<c:(if|when) test=[\"'])\\$\\{foo}", "<c:out value=\"\\${foo}\" />");

Answer 5

一般来说，正则表达式不足以正确处理任何重要的语言，尤其是允许匹配括号、转义引号和嵌套引用的语言。

您可能会在这里找到一个似乎适用于大多数情况的正则表达式，但这可能只是意味着您还没有遇到足够聪明的攻击者。

您需要更加严格地限制用户输入的内容。您不应该接受 JSP 代码，尝试“清理它”，然后执行它。你会被利用。甚至 Sun 也无法做到这一点（参见：最近针对 Java Applet 沙箱的一系列攻击）。