Spring MVC 框架 XSS 和富文本的纠结

2016 年 6 月 28 日
 wysnylc

使用 HtmlUtils.htmlEscape(value);会把& <> ' "符号编程 Unicode 编码使 XSS 失效，应该说是任何用户输入的 HTML 和 js 都失效，这样可以完美的防止 XSS 。
但是问题来了，在富文本中用户会使用编辑器编辑文本加入 HTML 标签，但是由于<>等已经被过滤转义那么所有的 HTML 标签都会挂掉。
不知道大家明白我的问题了吗，求一个解决方案蟹蟹

2980 次点击
所在节点    问与答
4 条回复
smilezino
2016 年 6 月 28 日
用 jsoup 过滤
针对图片地址再做一次代理
wysnylc
2016 年 6 月 28 日
@smilezino 十分感谢，世界需要你这样的英雄。
lidream
2018 年 10 月 23 日
您好，我的 filter 把后台的富文本编辑器也过滤了，请问用您是怎么用 jsoup 解决的？可不可以让我参考一下。
wysnylc
2018 年 10 月 24 日
@lidream #3 白名单或者设置过滤级别.

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://v2ex.ih06.com/t/288790

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX