帶有 owasp-java-html-sanitizer 的嵌入式 CSS

Question

我正在做一個項目，我們允許用戶提交 html/css，我們將使用該代碼創建一個 pdf。 我們的代碼可以運行，但我想清理傳入的數據以防止任何攻擊。 有一種方法可以通過以下方式清理內聯 css： http : //javadox.com/com.googlecode.owasp-java-html-sanitizer/owasp-java-html-sanitizer/r223/javadoc/org/owasp/html/HtmlPolicyBuilder .html#allowStyling(org.owasp.html.CssSchema)

但是有什么東西可以用來檢查樣式標簽中的任何東西嗎？ 我確實意識到嵌入式 css 可能很難檢查，但我在谷歌搜索中找不到關於這個主題的任何內容。 CssSchema 似乎檢查了我需要的每個屬性，我只是不能將它應用於樣式標簽之間的內容？

Answer 1

我的問題的答案是使用 AntiSamy。 http://atetric.com/atetric/javadoc/org.owasp.antisamy/antisamy/1.5.3/org/owasp/validator/css/CssScanner.html這個課程給了我我需要的一切。 它允許我掃描外部的、嵌入的和內聯的 css。 我目前正在研究內聯，因為我認為我必須單獨拉出每個內聯元素。 我確實必須去掉 Style 標簽才能將 CssScanner 與 scanStyleSheet 一起使用，但它起作用了。