带有 owasp-java-html-sanitizer 的嵌入式 CSS

Question

我正在做一个项目，我们允许用户提交 html/css，我们将使用该代码创建一个 pdf。 我们的代码可以运行，但我想清理传入的数据以防止任何攻击。 有一种方法可以通过以下方式清理内联 css： http : //javadox.com/com.googlecode.owasp-java-html-sanitizer/owasp-java-html-sanitizer/r223/javadoc/org/owasp/html/HtmlPolicyBuilder .html#allowStyling(org.owasp.html.CssSchema)

但是有什么东西可以用来检查样式标签中的任何东西吗？ 我确实意识到嵌入式 css 可能很难检查，但我在谷歌搜索中找不到关于这个主题的任何内容。 CssSchema 似乎检查了我需要的每个属性，我只是不能将它应用于样式标签之间的内容？

Answer 1

我的问题的答案是使用 AntiSamy。 http://atetric.com/atetric/javadoc/org.owasp.antisamy/antisamy/1.5.3/org/owasp/validator/css/CssScanner.html这个课程给了我我需要的一切。 它允许我扫描外部的、嵌入的和内联的 css。 我目前正在研究内联，因为我认为我必须单独拉出每个内联元素。 我确实必须去掉 Style 标签才能将 CssScanner 与 scanStyleSheet 一起使用，但它起作用了。