java - 如何清理 Java 中的 HTML 代码以防止 XSS 攻击？

Question

我正在寻找 class/util 等来清理 HTML 代码，即删除危险的标签、属性和值以避免 XSS 和类似攻击。

我从富文本编辑器(例如 TinyMCE)获取 html 代码，但它可能会以恶意方式发送，从而忽略 TinyMCE 验证(“数据提交表单异地”)。

有没有像 PHP 中的 InputFilter 这样简单易用的东西？我可以想象的完美解决方案是这样的(假设 sanitizer 封装在 HtmlSanitizer 类中):

String unsanitized = "...<...>...";           // some potentially 
                                              // dangerous html here on input

HtmlSanitizer sat = new HtmlSanitizer();      // sanitizer util class created

String sanitized = sat.sanitize(unsanitized); // voila - sanitized is safe...

---

更新 - 解决方案越简单越好!对其他库/框架的外部依赖尽可能少的小型 util 类 - 对我来说是最好的。

---

怎么样？

Answer 1

你可以试试OWASP Java HTML Sanitizer .使用起来非常简单。

PolicyFactory policy = new HtmlPolicyBuilder()
    .allowElements("a")
    .allowUrlProtocols("https")
    .allowAttributes("href").onElements("a")
    .requireRelNofollowOnLinks()
    .build();

String safeHTML = policy.sanitize(untrustedHTML);