反混淆脚本

Ⅰ JS加密混淆后安全吗

严格不能叫加密只是混淆替换了所有的变量名。脚本语言混淆只是可读性变差了。但是高手会用chrome或者ff的console去调试你的JS所以，安全是相对来说的。。。

Ⅱ shell脚本中 的 单引号和反引号经常混淆，请高手帮我区别它们的功能，谢谢

单引号原样输出，你可以记为“单调输出”，如下原样输出 eval echo a 这个字符串，很单调吧：
echo 'eval echo a'

反引号执行内容后输出，可以记为“反译输出”，要把引号中的内容反向翻译一下，如下要执行反绰号中的内容 eval echo a，得到 a，再执行 echo，最终输出 a：
echo `eval echo a`

Ⅲ 代码混淆器打乱代码的编译结果有办法破解掉吗

应该可以 ，混淆器只是增加了反编译的难度也而已

Ⅳ 代码反平庸吗

代码反混淆（deobfuscation）和代码混淆（obfuscation）对应，是其逆过程。维基网络将代码混淆定义为故意生成人类难以理解的源代码或机器码的过程（"In software development, obfuscation is the deliberate act of creating source or machine code that is difficult for humans to understand."）。代码反混淆可以理解为将原本人类难以理解的代码转化为简单的、可理解的、直观的代码的过程。

这篇文章主要介绍一下
"Big Code" 在代码反混淆领域的应用。更具体一点就是介绍一下提出 "JSNice" 和 "Deguard"
的两篇文章，这两篇文章虽然已经发表快五年了，但至今没有文章Follow这两份工作，因为文章已经将使用 "Big Code"
做代码命名反混淆做到了极致。后来的人无法在这个问题上推陈出新，脱颖而出。

"Big Code"： 代码托管网站如GitHub上的大量免费可用的高质量代码被称为 "Big Code" ，这些数据结合统计推理或深度学习为新兴的开发工具的出现提供了契机。

概率图模型：概率图模型是用图来表示变量概率依赖关系的理论，结合概率论与图论的知识，利用图来表示与模型有关的变量的联合概率分布。

问题

为了项目的安全，开发者在打包发布项目时会对代码进行混淆加密，包括但不限于用无意义的短变量去重命名类、变量、方法，以免代码被轻易破解泄露。另外由于JS脚本主要用于Web开发，对其进行混淆还能压缩脚本的大小，使得浏览器下载、加载更加快速，提升用户的浏览体验。

这一类通过对类、变量、方法重命名的混淆方案确实能加大其他开发者对代码的理解难度。其他开发者不干了，为了能方便理解他人混淆后的代码，学习（抄袭）他人的经验，针对这一类混淆方法的反混淆方法也应运而生。

下面先展示一下安卓APP的代码混淆技术：

其他元素，比如类名，Feilds名称的不等约束比较简单，直接处理就行。

所有不等约束以集合 表示， ， 中任意两个节点的名称必须不一样。

注意这个约束只用与预测阶段，因为训练数据（未混淆）本身满足这些约束。很容易可以把这些约束结合到JSNice的算法1中。

Deguard的概率图优化算法和JSNice也不一样，采用的是pseudo likelihood estimation。具体阐述推荐阅读文章[3]。

值得注意的是，为什么JSNice就没有Deguard中提到的相等约束和不等约束，笔者个人认为还是由问题和语言特性共同决定，JSNice的名称预测其实只预测了局部变量，而JS的语言特性导致其本身不需要检测局部变量的名称冲突，只有执行结果报错才会说明程序出错。也就是说其实JS本身语言特性就没有这类约束，自然不需要建模。

Ⅳ 如何写一个脚本，在手机上运行

第一种：破解apk，提取dex，反编译jar，反混淆，浏览几十个class文件寻找接单api，不停查找代码然后自己再用java写一个安卓应用后台运行
第二种：连点器

Ⅵ android集成分享sdk后怎么代码混淆

为了保护代码被反编译，android引入了混淆代码的概念
1.设置混淆
在工程下找到project.properties文件
在文件中加入proguard.config=${sdk.dir}/tools/proguard/proguard-android.txt:proguard-project.txt这个是系统的
也可以用自己的混淆文件（这样就可以配置一些自己的东西），去sdk.dir}/tools/proguard/ 下复制proguard-android.txt文件到本地工程中
然后设置成proguard.config=proguard-android.txt
project.properties文件:
[java] view plain

#proguard.config=${sdk.dir}/tools/proguard/proguard-android.txt:proguard-project.txt
proguard.config=proguard-android.txt

# Project target.
target=android-17

-injars androidtest.jar【jar包所在地址】
-outjars out【输出地址】
-libraryjars 'D:\android-sdk-windows\platforms\android-9\android.jar' 【引用的库的jar，用于解析injars所指定的jar类】
-optimizationpasses 5
-dontusemixedcaseclassnames 【混淆时不会产生形形色色的类名 】
- 【指定不去忽略非公共的库类。 】
-dontpreverify 【不预校验】
-verbose
-optimizations !code/simplification/arithmetic,!field/*,!class/merging/* 【优化】
-keep public class * extends android.app.Activity【不进行混淆保持原样】
-keep public class * extends android.app.Application
-keep public class * extends android.app.Service
-keep public class * extends android.content.BroadcastReceiver
-keep public class * extends android.content.ContentProvider
-keep public class * extends android.app.backup.BackupAgentHelper
-keep public class * extends android.preference.Preference
-keep public class com.android.vending.licensing.ILicensingService
-keep public abstract interface com.asqw.android.Listener{
public protected <methods>; 【所有方法不进行混淆】
}
-keep public class com.asqw.android{
public void Start(java.lang.String); 【对该方法不进行混淆】
}
-keepclasseswithmembernames class * { 【保护指定的类和类的成员的名称，如果所有指定的类成员出席（在压缩步骤之后）】
native <methods>;
}
-keepclasseswithmembers class * { 【保护指定的类和类的成员，但条件是所有指定的类和类成员是要存在。】
public <init>(android.content.Context, android.util.AttributeSet);
}
-keepclasseswithmembers class * {
public <init>(android.content.Context, android.util.AttributeSet, int);
}
-keepclassmembers class * extends android.app.Activity {【保护指定类的成员，如果此类受到保护他们会保护的更好 】
public void *(android.view.View);
}
-keepclassmembers enum * {
public static **[] values();
public static ** valueOf(java.lang.String);
}
-keep class * implements android.os.Parcelable {【保护指定的类文件和类的成员】
public static final android.os.Parcelable$Creator *;
}

=====================================常见异常===================================
参考：http://blog.csdn.net/vrix/article/details/7100841

加入第三方jar包之后常出现的几个异常：
proguard returned with error code 1.See console
情况1：
Proguard returned with error code 1. See console
Error: C:/Documents (系统找不到指定文件)
后来发现是因为将整个工程放到了桌面上，而桌面的目录是C:/Documents and Settings/Administrator/桌面，在这里面有空格，而proguard进行发编译的时候是不允许有空格的
如果换了正确路径还不好用的话，直接删除proguard就好了
注意：SDK和程序路径最好不要有空格符
情况2：
Proguard returned with error code 1. See console
异常：
java.lang.
解决办法：将proguard.cfg中的"-dontpreverify"改成“-dontoptimize”
参考文章：http://groups.google.com/group/android-developers/browse_thread/thread/eca3b0f5ce6ad00f

我把项目中生成的proguard文件夹（此时文件夹是空的）删掉，然后再重新运行项目，就OK 了。
情况3：
[2011-10-21 13:22:32 - ZMKSMarket_Build_v1.0] Proguard returned with error code 1. See console

[2011-10-21 13:22:32 - ZMKSMarket_Build_v1.0] java.io.IOException: Can't read [proguard.ClassPathEntry@106082] (No such file or directory)
[2011-10-21 13:22:32 - ZMKSMarket_Build_v1.0]
at proguard.InputReader.readInput(InputReader.java:230)
[2011-10-21 13:22:32 - ZMKSMarket_Build_v1.0]
at proguard.InputReader.readInput(InputReader.java:200)
[2011-10-21 13:22:32 - ZMKSMarket_Build_v1.0]
at proguard.InputReader.readInput(InputReader.java:178)
[2011-10-21 13:22:32 - ZMKSMarket_Build_v1.0]
at proguard.InputReader.execute(InputReader.java:100)
[2011-10-21 13:22:32 - ZMKSMarket_Build_v1.0]
at proguard.ProGuard.readInput(ProGuard.java:195)
[2011-10-21 13:22:32 - ZMKSMarket_Build_v1.0]
at proguard.ProGuard.execute(ProGuard.java:78)
[2011-10-21 13:22:32 - ZMKSMarket_Build_v1.0]
at proguard.ProGuard.main(ProGuard.java:499)
抛出这样的异常的原因是第三方jar的引用路径不对，没有找到这个需要忽略混淆的jar包。

========================官方文档翻译========================================

原文
http://developer.android.com/guide/developing/tools/proguard.html

混淆器(ProGuard)
在本文中(In this document)
Enabling ProGuard
Configuring ProGuard
Decoding Obfuscated Stack Traces
Debugging considerations for published applications
参见
ProGuard Manual ?
ProGuard ReTrace Manual ?
混淆器通过删除从未用过的代码和使用晦涩名字重命名类、字段和方法，对代码进行压缩，优化和混淆。结果是一个比较小的.apk文件，该文件比较难进行逆向工程。因此，当你的应用程序对安全敏感（要求高），例如当你授权应用程序的时候，混淆器是一种重要的保护手段。
混淆器被集成在android 构建系统中，所以你不必手动调用它。同时混淆器仅在发布模式下进行构建应用程序的时候才会运行起来，所以在调试模式下构建程序时，你不必处理混淆代码。让混淆器运行起来是可选择的，但是推荐选上。
这个文档描述了怎样启用并配置混淆器，以及使用跟踪（retrace）工具对混淆的堆栈跟踪信息（stack traces）进行解码。

启用混淆器Enabling ProGuard
当你新建了一个Android工程之后，一个proguard.cfg文件会在工程的根目录下自动创建。这个文件定义了混淆器是怎样优化和混淆你的代码的，所以懂得怎样根据你的需要来定制是非常重要的。缺省的配置文件仅覆盖到了通常情况，所以根据你的需求，很可能需要编辑它。接下来的内容是关于通过定制混淆器配置文件来对混淆器配置。
为了让启用混淆器作为Ant或者Eclipse构建过程中一部分，可以在<project_root>/default.properties文件中，设置proguard.config属性。路径可以是绝对路径或者工程根目录的相对路径。
如果你让proguard.cfg文件在缺省位置（工程的根目录），你可以像这样指定位置：
proguard.config=proguard.cfg

同样，你可以把该文件放到任意的位置，并指定它的绝对路径。
proguard.config=/path/to/proguard.cfg

当你在发布模式下，或者通过运行ant release，或者通过使用Eclipse中的Export Wizard构建你的应用程序的时候，构建系统都会自动地去检查proguard.config属性是否被设置了。如果被设置了，混淆器在把所有东西打包成.apk文件之前，自动地对应用程序字节码进行混淆处理。而在调试模式中构建则不会调用混淆器，因为那样调试会更加繁重。

运行混淆器之后输出的文件有：
mp.txt
描述.apk包中所有class文件的内部结构。
mapping.txt

列出了源代码与混淆后的类，方法和属性名字之间的映射。这个文件对于在构建之后得到的bug报告是有用的，因为它把混淆的堆栈跟踪信息反翻译为源代码中的类，方法和成员名字。更多信息，查看解码混淆过的堆栈跟踪信息。

seeds.txt
列出那些未混淆的类和成员。
usage.txt
列出从.apk中剥离的代码。
这些文件放在以下目录中：

注意：每次在发布模式下构建时，这些文件都会被最新的文件覆盖。所以每次发布程序时候，为了反混淆来自构建时产生的bug报告，请保存这些文件的一个拷贝。对于为什么要保存这些文件的重要性的更多信息，请查看程序发布调试注意事项。

混淆器配置（proguard config）
某些情况下，proguard.cfg文件的缺省配置可以满足需求了。但是，对于混淆器来说，大多数情况做出正确的分析是困难的，并且它或许会删除在它看来是无用的，但对于程序来说却确实需要的代码。一些例子如下：

一个仅引用于AndroidManifest.xml文件的类。
一个通过JNI调用的方法。
动态引用的属性和方法。
<project_root>/bin/proguard 当你使用Ant时
<project_root>/proguard 当你使用Eclipse时

解码混淆过的堆栈跟踪信息（Decoding Obfuscated Stack Traces）
当混淆代码并输出了一个堆栈调试信息时，这些方法名字是混淆过的，虽然可以进行调试，但是调试变得困难。幸运的是，每当混淆器运行时候，它都会输出到文件<project_root>/bin/proguard/mapping.txt中，该文件包含了从原始类，方法和属性名字到混淆后名字的映射。
Windows系统中retrace.bat脚本命令或者Linux和Mac OS X系统中retrace.sh脚本命令能把混淆后的堆栈调试信息转换为可以理解的文件。它被放在<sdk_root>/tools/proguard/目录下。运行retrace工具的命令语法是：
retrace.bat|retrace.sh [-verbose] mapping.txt [<stacktrace_file>]

例如：
retrace.bat -verbose mapping.txt obfuscated_trace.txt

如果你没有为<stracktrace_file>指定值，那么retrace工具从标准输入读取。

已发布应用程序的调试注意事项(Debugging considerations for published applications)
保存好每一个已发布给用户的程序的mapping.txt文件。通过保存发布构建版本的mapping.txt文件拷贝，确保当用户碰到bug，并把混淆后的堆栈调试跟踪信息提交给你时，你可以进行调试从而修复问题。程序的mapping.txt文件在每次发布构建时都会被覆盖，所以你一定要注意保存正确的版本。
例如，假设你已经发布了一个应用程序并在继续在新的版本中开发添加新的功能。接着你马上启动混淆器并创建一个新的发布版本。该操作把mapping.txt文件覆盖了。一个用户提交了来自当前发布版本的bug报告，该报告包含了堆栈调试信息。你再也不能对用户的堆栈信息进行调试了，因为这个对应用户本机上版本的mapping.txt文件不存在了。其他覆盖mapping.txt文件的情况还有很多，所以对于每一个可能需要调试的版本，你都要确保有一份拷贝。

Ⅶ Android 开发怎样做代码加密或混淆

android代码的混淆和加密：
通常来说Proguard对一般用途来说足够了，但是也需要注意一些程序风格，增强proguard的效果。
1、 特定类的public函数不做实际的事情，只做简单处理后调用private函数。proguard对会对一些特定类的public函数不做混淆，以便被AndroidManifest.xml和各种layout引用。
2、会被AndroidMinifest.xml和layout引用的类放在浅层的包中，需要隐藏的类放在较深处，以便proguard混淆包名带来好处。如果一个包中有需要不混淆的内容，则整个包名都不会被混淆。
3、将函数根据功能分细切短也会有些益处。当然如果隐藏代码的要求比较高，还是用native好了。

望采纳！！

Ⅷ 脚本和插件的区别

1. 扩展(Extensions)，扩展是一种具有一些新功能的加载项，在 Firefox 扩展中心（https://addons.mozilla.org）上有着丰富的优秀扩展，相信 Firefox 扩展强大的功能会让你再也离不开 Firefox，你可以根据个人需求来安装适合个人需求的扩展。

2. 插件(Plugins)，初学者最容易把扩展和插件混淆了，通俗的讲，扩展是基于 Firefox 本身增加的一些实用功能，而插件则是在 Firefox 之外独立编写的程序，用于显示网页中的特定内容，比如 Flash，上传插件，网银插件和 Java 等。插件是安装在系统中的，火狐只是调用，在 附加组件-插件 中显示即是取自系统各文件夹中的插件。

3. 用户样式(Userstyles)，我们可以利用它来定制目标网页或网站的css样式，甚至一些Firefox 扩展的样式，让浏览效果更加舒适。而且在 UserStyles 网站上已经有不少现成的样式可供下载，让不会写css的普通用户也可以享受到它的便利。用户样式的修改通过 Stylish 这个扩展实现，安装扩展后，“附加组件”页面就会出现“用户样式”的标签，在浏览网页时，点击工具栏上的 Stylish 图标，即可搜索适用于这个网站的用户样式，是不是很方便？

4. 用户脚本(Userscripts)，能通过脚本来增强被访问网页，能使你访问的网站更便于阅读或者更便于使用。配合 Greasemonkey 这个扩展使用。在 GreasyFork 上有许多用户分享的用户脚本，打开脚本的安装页面，点击 “Install” 按钮就可以完成安装了。

之后的文章里会分享一些常用的用户样式(Userstyles)和用户脚本(Userscripts)

5. UC脚本(UserchromeJS)，区别于用户脚本，UC脚本可以针对于火狐浏览器进行定制来实现效果，而用户脚本的功能只能针对网页页面，UC脚本可以代替某些用户脚本和某些拓展，而UC脚本的优势在于它是轻量级的。在 Github 上有许多开发者发布的UC脚本。

Ⅸ android如何将混淆代码还原

当混淆后的代码输出一个堆栈信息时，方法名是不可识别的，这使得调试变得很困难，甚至是不可能的。幸运的是，当ProGuard运行时，它都会输出一个<project_root>/bin/proguard/mapping.txt文件，而这个文件中包含了原始的类，方法和字段名被映射成的混淆名字。

retrace.bat脚本（Window）或retrace.sh脚本（Linux，Mac OS X）可以将一个被混淆过的堆栈跟踪信息还原成一个可读的信息。它位于<sdk_root>/tools/proguard文件夹中。执行retrace工具的语法如下：
retrace.bat|retrace.sh [-verbose] mapping.txt [<stacktrace_file>]

例如：
retrace.bat -verbose mapping.txt obfuscated_trace.txt
如果你没有指定<stacktrace_file>，retrace工具会从标准输入读取。

Ⅹ 如何防范XSS跨站脚本攻击测试篇

不可信数据 不可信数据通常是来自HTTP请求的数据，以URL参数、表单字段、标头或者Cookie的形式。不过从安全角度来看，来自数据库、网络服务器和其他来源的数据往往也是不可信的，也就是说，这些数据可能没有完全通过验证。 应该始终对不可信数据保持警惕，将其视为包含攻击，这意味着在发送不可信数据之前，应该采取措施确定没有攻击再发送。由于应用程序之间的关联不断深化，下游直译程序执行的攻击可以迅速蔓延。 传统上来看，输入验证是处理不可信数据的最好办法，然而，输入验证法并不是注入式攻击的最佳解决方案。首先，输入验证通常是在获取数据时开始执行的，而此时并不知道目的地所在。这也意味着我们并不知道在目标直译程序中哪些字符是重要的。其次，可能更加重要的是，应用程序必须允许潜在危害的字符进入，例如，是不是仅仅因为SQL认为Mr. O'Malley名字包含特殊字符他就不能在数据库中注册呢? 虽然输入验证很重要，但这始终不是解决注入攻击的完整解决方案，最好将输入攻击作为纵深防御措施，而将escaping作为首要防线。 解码(又称为Output Encoding) “Escaping”解码技术主要用于确保字符作为数据处理，而不是作为与直译程序的解析器相关的字符。有很多不同类型的解码，有时候也被成为输出“解码”。有些技术定义特殊的“escape”字符，而其他技术则包含涉及若干字符的更复杂的语法。 不要将输出解码与Unicode字符编码的概念弄混淆了，后者涉及映射Unicode字符到位序列。这种级别的编码通常是自动解码，并不能缓解攻击。但是，如果没有正确理解服务器和浏览器间的目标字符集，有可能导致与非目标字符产生通信，从而招致跨站XSS脚本攻击。这也正是为所有通信指定Unicode字符编码(字符集)(如UTF-8等)的重要所在。 Escaping是重要的工具，能够确保不可信数据不能被用来传递注入攻击。这样做并不会对解码数据造成影响，仍将正确呈现在浏览器中，解码只能阻止运行中发生的攻击。 注入攻击理论 注入攻击是这样一种攻击方式，它主要涉及破坏数据结构并通过使用特殊字符(直译程序正在使用的重要数据)转换为代码结构。XSS是一种注入攻击形式，浏览器作为直译程序，攻击被隐藏在HTML文件中。HTML一直都是代码和数据最差的mashup，因为HTML有很多可能的地方放置代码以及很多不同的有效编码。HTML是很复杂的，因为它不仅是层次结构的，而且还包含很多不同的解析器(XML、HTML、JavaScript、VBScript、CSS、URL等)。 要想真正明白注入攻击与XSS的关系，必须认真考虑HTML DOM的层次结构中的注入攻击。在HTML文件的某个位置(即开发者允许不可信数据列入DOM的位置)插入数据，主要有两种注入代码的方式： Injecting UP，上行注入 最常见的方式是关闭现有的context并开始一个新的代码context，例如，当你关闭HTML属性时使用">并开始新的 可以终止脚本块，即使该脚本块被注入脚本内方法调用内的引用字符，这是因为HTML解析器在JavaScript解析器之前运行。 Injecting DOWN，下行注入 另一种不太常见的执行XSS注入的方式就是，在不关闭当前context的情况下，引入一个subcontext。例如，将改为 ，并不需要躲开HTML属性context，相反只需要引入允许在src属性内写脚本的context即可。另一个例子就是CSS属性中的expression()功能，虽然你可能无法躲开引用CSS属性来进行上行注入，你可以采用x ss:expression(document.write(document.cookie))且无需离开现有context。 同样也有可能直接在现有context内进行注入，例如，可以采用不可信的输入并把它直接放入JavaScript context。这种方式比你想象的更加常用，但是根本不可能利用escaping(或者任何其他方式)保障安全。从本质上讲，如果这样做，你的应用程序只会成为攻击者将恶意代码植入浏览器的渠道。 本文介绍的规则旨在防止上行和下行XSS注入攻击。防止上行注入攻击，你必须避免那些允许你关闭现有context开始新context的字符;而防止攻击跳跃DOM层次级别，你必须避免所有可能关闭context的字符;下行注入攻击，你必须避免任何可以用来在现有context内引入新的sub-context的字符。 积极XSS防御模式 本文把HTML页面当作一个模板，模板上有很多插槽，开发者允许在这些插槽处放置不可信数据。在其他地方放置不可信数据是不允许的，这是“白名单”模式，否认所有不允许的事情。 根据浏览器解析HTML的方式的不同，每种不同类型的插槽都有不同的安全规则。当你在这些插槽处放置不可信数据时，必须采取某些措施以确保数据不会“逃离”相应插槽并闯入允许代码执行的context。从某种意义上说，这种方法将HTML文档当作参数化的数据库查询，数据被保存在具体文职并与escaping代码context相分离。 本文列出了最常见的插槽位置和安全放置数据的规则，基于各种不同的要求、已知的XSS载体和对流行浏览器的大量手动测试，我们保证本文提出的规则都是安全的。 定义好插槽位置，开发者们在放置任何数据前，都应该仔细分析以确保安全性。浏览器解析是非常棘手的，因为很多看起来无关紧要的字符可能起着重要作用。 为什么不能对所有不可信数据进行HTML实体编码? 可以对放入HTML文档正文的不可行数据进行HTML实体编码，如 标签内。也可以对进入属性的不可行数据进行实体编码，尤其是当属性中使用引用符号时。但是HTML实体编码并不总是有效，例如将不可信数据放入 directlyinascript insideanHTMLcomment inanattributename <...NEVERPUTUNTRUSTEDDATAHERE...href="/test"/> inatagname 更重要的是，不要接受来自不可信任来源的JavaScript代码然后运行，例如，名为“callback”的参数就包含JavaScript代码段，没有解码能够解决。 No.2 – 在向HTML元素内容插入不可信数据前对HTML解码 这条规则适用于当你想把不可信数据直接插入HTML正文某处时，这包括内部正常标签(div、p、b、td等)。大多数网站框架都有HTML解码的方法且能够躲开下列字符。但是，这对于其他HTML context是远远不够的，你需要部署其他规则。 ...... ...... 以及其他的HTML常用元素 使用HTML实体解码躲开下列字符以避免切换到任何执行内容，如脚本、样式或者事件处理程序。在这种规格中推荐使用十六进制实体，除了XML中5个重要字符(&、<、 >、 "、 ')外，还加入了斜线符，以帮助结束HTML实体。 &-->& <-->< >-->> "-->" '-->''isnotrecommended /-->/ ESAPI参考实施 Stringsafe=ESAPI.encoder().encodeForHTML(request.getParameter("input")); No.3 – 在向HTML常见属性插入不可信数据前进行属性解码 这条规则是将不可信数据转化为典型属性值(如宽度、名称、值等)，这不能用于复杂属性(如href、src、style或者其他事件处理程序)。这是及其重要的规则，事件处理器属性(为HTML JavaScript Data Values)必须遵守该规则。 content insidesinglequotedattribute 除了字母数字字符外，使用小于256的ASCII值&#xHH格式(或者命名的实体)对所有数据进行解码以防止切换属性。这条规则应用广泛的原因是因为开发者常常让属性保持未引用，正确引用的属性只能使用相应的引用进行解码。未引用属性可以被很多字符破坏，包括[space] % * + , - / ; < = > ^ 和 |。 ESAPI参考实施 String safe = ESAPI.encoder().encodeForHTMLAttribute( request.getParameter( "input" ) ); No.4 – 在向HTML JavaScript Data Values插入不可信数据前，进行JavaScript解码 这条规则涉及在不同HTML元素上制定的JavaScript事件处理器。向这些事件处理器放置不可信数据的唯一安全位置就是“data value”。在这些小代码块放置不可信数据是相当危险的，因为很容易切换到执行环境，因此请小心使用。