owasp html清理程序中的isValid（）方法

Question

我的应用程序中有一个页面，用户可以在其中输入HTML输入。 现在，为了避免XSS攻击，我正在使用OWASP HTML Sanitizer来清理用户输入。 如果根据政策用户输入无效，我只是想把用户赶出去。

有没有一种方法可以简单地检查输入的html是否对策略有效而不进行消毒？

就像是

public static boolean isValid（String input，Policy policy）;

Answer 1

您可以定义自己的isValid方法，但不确定在不调用sanitize方法的情况下是否可以这样做。

// Define the policy factory
PolicyFactory polFac = new HtmlPolicyBuilder()
    .allowElements("a", "p")
    .allowAttributes("href").onElements("a")
    .toFactory(); 

boolean isValid(String input, PolicyFactory polFac){
    return input.equals(polFac.sanitize(input));
}

您可以使用第二个版本的sanitize方法（在PolicyFactory类中）获得isValid的更强大版本，该方法报告拒绝的元素和属性的名称。