サニタイジングの実装に対して

suminさんの書き込み (2004-06-27 18:41) より:
StrutsとEJBを使用するシステムを実装中です。インテグレーション層としてはEnittyBeanとHibernateを併用しています。ここで、クロスサイトスクリプティングやSQLインジェクションなどの脆弱性を防ぐためにサニタイジングを行いたいと思いますが、実装した方はいないでしょうか？

suminさんの書き込み (2004-06-27 18:41) より:
今考えているのはJakarta-oroなどの正規表現が使えるライブラリーを利用してサブレットのフィルタとして実装する事ですがよりいいアイデアとかはございませんか？

サニタイジングという言葉はあまり良く知りませんが、フィルターとして備えるのは、ポートを塞ぐのと似たような感じであり、とりあえずの予防に過ぎず、厳密性に欠けるような気もします。というのも、動作するタイミングがわりと早いため、あまりガチガチに制限することができず、荒い網目で捕まえるような感じになってしまうように思います。

正規表現はたしかに厳密性はあるものの、人が見て分かりづらく、デバッグがしづらいかもしれません。if 文の羅列でロジックをチェックするようにしたほうが良いかもと思います。ただ、正規表現が分かりやすい・分かりにくい、は主観もありますが。
ちなみに、ご存知かもしれませんが、正規表現としては Java2(1.4以降)に標準で付属する java.util.regex パッケージもあります。