如何报告是否使用OWASP Java HTML Sanitizer清理了输入

Question

我在API中看到了可能，但我不知道如何使用sanitize（）方法 。 甚至有一个论坛帖子，有人说要使用它，但他们不解释如何使用。 本质上，我不知道CTX在该方法签名中意味着什么。 如果有人可以提供如何获取经过消毒的物品清单的示例代码，将不胜感激。

Answer 1

您需要设置HtmlChangeListener来捕获所有已清理的元素。 代码如下所示：

List<String> results = new ArrayList<String>();

HtmlChangeListener<List<String>> htmlChangeListener = new HtmlChangeListener<>()
{
    @Override
    public void discardedTag(List<String> context, String elementName)
    {
        context.add(elementName);
    }

    @Override
    public void discardedAttributes(List<String> context, String tagName, String... attributeNames)
    {
        context.add(tagName);
    }
};

String sanitizedHtml = POLICY_DEFINITION.sanitize(rawHtml, htmlChangeListener, results);
System.out.println("Sanitized elements include: " + String.join(",", results));