OWSP Java编码器:防止特定属性转义

我正在使用 Clojure's wrapper 关于OWSP Java编码器库。我准备了一个政策 src iframe 元素,如果它与某些regex模板匹配,例如YouTube或Vkontakte embedded iframes。

src公司 值被转义,因此URL不起作用。这是一个例子。源HTML:

<iframe src='https://vk.com/video_ext.php?oid=-30493961&id=456241043&hash=a3148de1cd04c77b' width='640' height='360' frameborder='0' allowfullscreen></iframe>

<iframe src="https://vk.com/video_ext.php?oid&#61;-30493961&amp;id&#61;456241043&amp;hash&#61;a3148de1cd04c77b"></iframe>

我没有找到任何关于如何防止退货的文件 src公司 从逃逸中得到的值。我该怎么做?

PS我的源代码:

;; policy declaration
(html-policy
   :allow-elements ["iframe"] ;; a long vector here with other tags

   :allow-attributes
   ["src"
    :matching [#"(?i)\Qhttps://vk.com/video_ext.php\E.+"]
    :on-elements ["iframe"]]

   :allow-standard-url-protocols)

;; sanitation
(html-sanitize policy html-string)