Stringクラス、ライブラリ、正規表現：JavaでHTMLをエスケープするベストプラクティス

2024-06-12

Java で HTML 記号をエスケープする方法

String クラスの replace() メソッドを使う

最も基本的な方法は、String クラスの replace() メソッドを使うことです。このメソッドは、文字列中の特定の文字列を別の文字列に置き換えることができます。

String html = "<p>This is a paragraph.</p>";

html = html.replace("<", "&lt;");
html = html.replace(">", "&gt;");

System.out.println(html);

このコードを実行すると、次のように出力されます。

&lt;p&gt;This is a paragraph.&lt;/p&gt;

Apache Commons Lang ライブラリには、HTML エスケープに便利なユーティリティメソッドが用意されています。

import org.apache.commons.lang3.StringEscapeUtils;

String html = "<p>This is a paragraph.</p>";

html = StringEscapeUtils.escapeHtml4(html);

System.out.println(html);

&lt;p&gt;This is a paragraph.&lt;/p&gt;

import com.google.common.base.Escaper;
import com.google.common.html.HtmlEscaper;

String html = "<p>This is a paragraph.</p>";

Escaper escaper = HtmlEscaper.getInstance();
html = escaper.escape(html);

System.out.println(html);

&lt;p&gt;This is a paragraph.&lt;/p&gt;

上記で紹介した 3 つの方法はそれぞれ利点と欠点があります。

String クラスの replace() メソッド:
- 利点: シンプルでわかりやすい
- 欠点: すべての HTML 記号をエスケープする必要がある
Apache Commons Lang ライブラリ:
- 欠点: ライブラリの追加インストールが必要

プロジェクトの規模や要件に応じて、適切な方法を選択してください。

Java 8 以降であれば、String クラスの chars() メソッドと mapToObj() メソッドを使って、より簡潔にエスケープ処理を行うことができます。
サニタイゼーションライブラリを使用すると、HTML タグだけでなく、スクリプトやその他の不正なコンテンツも除去することができます。

String クラスの replace() メソッドを使う

String html = "<p>This is a paragraph.</p>";

html = html.replace("<", "&lt;");
html = html.replace(">", "&gt;");
html = html.replace("&", "&amp;");

System.out.println(html);

&lt;p&gt;This is a paragraph.&lt;/p&gt;

Apache Commons Lang ライブラリを使う

import org.apache.commons.lang3.StringEscapeUtils;

String html = "<p>This is a paragraph.</p>";

html = StringEscapeUtils.escapeHtml4(html);

System.out.println(html);

&lt;p&gt;This is a paragraph.&lt;/p&gt;

Guava ライブラリを使う

import com.google.common.base.Escaper;
import com.google.common.html.HtmlEscaper;

String html = "<p>This is a paragraph.</p>";

Escaper escaper = HtmlEscaper.getInstance();
html = escaper.escape(html);

System.out.println(html);