javascript - 是 Primefaces p :editor safe to use?

Question

我的意思是，primefaces p:editor 使用 html 来构建文本，所以我必须将 h:outputText 的转义属性设置为 false，以显示没有 html 标签的输出。

我试着玩弄这个组件，并输入了以下 javascript:

<script>
    $(document).ready(function(){
        $("div").text("haha");
    })
</script>

输出是相同的(我得到一个简单的文本，没有执行 js)，直到我打开选项“显示源”并输入相同的内容。现在，当我尝试显示文本时，执行了 javascript 并破坏了页面。

所以我的问题是:我对该组件的方法、实现和使用是否存在漏洞？还是 p:editor 如此脆弱？我应该改用简单的文本区域，还是有办法从编辑器中移除此选项？

Answer 1

您可以通过属性“controls”禁用编辑器的任何控件

http://courses.coreservlets.com/Course-Materials/pdf/jsf/primefaces/users-guide/p-editor.pdf

粗体•斜体•强调•删除线•下标•上标•字体•尺寸•风格•颜色•强调•子弹•编号•左对齐•中央•右对齐•证明合法•撤消•重做•规则•图片•关联•取消链接•切•复制•粘贴•粘贴文本•打印•来源•突出•缩进•移除格式

您可以使用上述任何关键字来指定您想要的控件

例如: