Java中的安全HTML

Question

我有一些包含HTML输入，例如<br> <b> <i>等。我需要一种方法来仅转义将网站暴露给XSS的“不良” HTML 。

经过数小时的Googeling，我发现GWT看起来很有前途。

建议的逃脱不良HTML方法是什么？

编辑：

我来整理一下

我正在使用输出HTML的JavaScript文本编辑器。 如果我使用类似bbcode的代码，会不会容易得多？

Answer 1

OWASP AntiSamy就是为此目的而设计的。 如果您需要用户能够提交结构化文本，请查看markdown（imho比BBCode好得多）。

Answer 2

您可能只想转义所有html。 如果您希望用户能够使用<b>或<i>类的基本html标签，则只需将其替换为[b]和[i]（如果您创建的论坛/创建的内容都可以使用bbcode），然后只需将所有"<"和">"替换为"<" 和">" 。

Answer 3

Google caja是一种使第三方HTML，CSS和JavaScript 安全地嵌入您的网站的工具。

Answer 4

Playframework 2已经提供了解决方案。

@Html()函数可过滤错误的html，这确实很棒。

我真的很喜欢play2