代码之家 › 专栏 › 技术社区 › Roman

如何实现用户以安全的方式发布一些html格式的数据?

jsf security java

Roman · 技术社区 · 14 年前

textarea

我怎样才能做到这一点?如果我不逃避响应并保留一些html标记,那么它将是一个巨大的安全漏洞。但我没有看到任何其他解决方案,将允许在浏览器中的文本格式。

所以,我可能应该过滤用户的输入。但我该怎么做呢?有现成的解决方案吗?我使用的是JSF,那么有没有什么智能组件可以过滤除html标记以外的所有内容呢?

2 回复 | 直到 14 年前

BalusC 10 年前

使用HTML解析器,它支持针对白名单进行HTML过滤,比如 Jsoup . 以下是一个从 its site .

Sanitize untrusted HTML

您希望允许不受信任的用户在您的网站上为输出提供HTML(例如作为评论提交)。你需要清理这个HTML以避免 cross-site scripting (XSS)攻击。

使用jsoup HTML Cleaner Whitelist .
String unsafe = 
      "<p><a href='http://example.com/' onclick='stealCookies()'>Link</a></p>";
String safe = Jsoup.clean(unsafe, Whitelist.basic());
      // now: <p><a href="http://example.com/" rel="nofollow">Link</a></p>