java - OWASP HTML Sanitizer 清理评论

Question

我有一个应用程序，客户可以在其中存储以下 html 行，以便为实际浏览器加载不同的样式:

<!--[if IE 6]><link rel="stylesheet" type="text/css" media="all" href="default/css/general_ie6.css"><![endif]--> 
<!--[if IE 7]><link rel="stylesheet" type="text/css" media="all" href="default/css/general_ie7.css"><![endif]--> 
<!--[if IE 8]><link rel="stylesheet" type="text/css" media="all" href="default/css/general_ie8.css"><![endif]--> 

此外，我还配置了 OWASP 策略，以通过以下方式禁止恶意 html 标签:

new HtmlPolicyBuilder().allowElements("link").allowAttributes("rel", "type", "media", "href").onElements("link").toFactory();

但是在清理之后 if browser lines are dropped.

您能否建议如何配置策略以允许存储此类内容？

Answer 1

OWASP Sanitizer 无法配置为接受这些标签。相反，您可以使用像 JSoup 这样的 HTML 解析器在清理之前提取这些行，然后再将它们添加回去。