Java bean验证正则表达式摆脱CSV注入

Question

在我们的java应用程序中，用户可以将数据导出到容易出现CSV Injection的excel文件中。为了避免这个漏洞，如果任何参数以以下字符开头，我想限制用户输入，例如 =HYPERLINK(E3, F3)：

Equals to ("=")
Plus ("+")
Minus ("-")
At ("@") 

我尝试了一些正则表达式：

^[^+=@-]

^((?![+=@-]).)*

但是这些在 bean 验证中没有按预期工作。

Answer 1

您只需要像这样转义正则表达式中的特殊字符：

String csvInjectionRegex = "^[^\\+\\=@\\-]";

以下字符是需要在正则表达式中转义的字符：

为了逃避他们，你要么：

• 使用反斜杠"\\"

• 或在\Q 和\E 中使用封闭的每个特殊字符。示例：("\\Q|\\E")

• 如果您有任何疑问，请使用 Pattern.quote(specialString)：

String csvInjectionRegex = "^[^"+Pattern.quote("+-=@")+"]";

Answer 2

试试这个：

  if (value.matches("^[+=@-].*")) {
      //DO M
  }