仅转义 grails 中的特定标签

Question

在我的应用程序中，用户将能够放置自己的内容。当然，我想保护我的应用程序免受 XSS 攻击。但是使用 .encodeAsHTML() 可以转义一切。我想让用户设置文本样式，因此我希望某些标签不转义，例如 、、。知道我该怎么做吗？或者也许有人已经做了类似的事情？我还考虑过 BBCode 风格的格式化——有人在 grails 上做过吗？

Answer 1

看看 jsoup，它可以让您将标签和属性列入白名单，但以其他方式擦除您的 HTML。

这是一个例子：

String escapeNonFormattingHTML(String unescaped) {
    def whitelist = Whitelist().simpleText() //allows b, i, u, em, strong
    return new Jsoup().clean(unescaped, whitelist)
} 

Answer 2

Html Cleaner 插件可以帮助您根据白名单清理 html。但其他标签不会被转义，而是被完全删除。它基于jsoup。