如何報告是否使用OWASP Java HTML Sanitizer清理了輸入

Question

我在API中看到了可能，但我不知道如何使用sanitize（）方法 。 甚至有一個論壇帖子，有人說要使用它，但他們不解釋如何使用。 本質上，我不知道CTX在該方法簽名中意味着什么。 如果有人可以提供如何獲取經過消毒的物品清單的示例代碼，將不勝感激。

Answer 1

您需要設置HtmlChangeListener來捕獲所有已清理的元素。 代碼如下所示：

List<String> results = new ArrayList<String>();

HtmlChangeListener<List<String>> htmlChangeListener = new HtmlChangeListener<>()
{
    @Override
    public void discardedTag(List<String> context, String elementName)
    {
        context.add(elementName);
    }

    @Override
    public void discardedAttributes(List<String> context, String tagName, String... attributeNames)
    {
        context.add(tagName);
    }
};

String sanitizedHtml = POLICY_DEFINITION.sanitize(rawHtml, htmlChangeListener, results);
System.out.println("Sanitized elements include: " + String.join(",", results));