OWASP HTML Sanitizer清除评论

Question

我有应用程序，客户可以存储以下html行，以便为实际浏览器加载不同的样式：

<!--[if IE 6]><link rel="stylesheet" type="text/css" media="all" href="default/css/general_ie6.css"><![endif]--> 
<!--[if IE 7]><link rel="stylesheet" type="text/css" media="all" href="default/css/general_ie7.css"><![endif]--> 
<!--[if IE 8]><link rel="stylesheet" type="text/css" media="all" href="default/css/general_ie8.css"><![endif]--> 

我还配置了OWASP policy以便以下列方式禁止恶意html标记：

new HtmlPolicyBuilder().allowElements("link").allowAttributes("rel", "type", "media", "href").onElements("link").toFactory();

但在卫生设施之后， if browser lines被丢弃。

您能否建议如何配置策略以便存储此类内容？

Answer 1

OWASP Sanitizer无法配置为接受这些标记。 相反，你可以使用像JSoup这样的HTML解析器在santizing之前提取这些行，然后再添加它们。

Answer 2

问题＃1532：允许在HTML中保留注释 。 在完成该功能请求或类似功能请求之前，HTML清理程序无法做到这一点。