Java标记语言是XSS安全的

Question

我正在编写一个java webapp，我想让我的用户输入包含XSS / Cross-Site-Scripting安全标记的文本。我想将用户生成的标记保存到数据库并将其显示为HTML。

我知道markdown但是这允许输入不是XSS安全的原始HTML。

在Java中是否有类似wiki的/ markdown式解释器是否安全？我也想听听任何可能有帮助的javascript / wysiwig编辑器。

或者，java中是否有任何可以清理HTML的XSS过滤器，以便XSS安全。

Answer 1

我使用Markdown（实际上是Pegdown）和Jsoup一起运作良好。

... Jsoup

  

  
• 根据安全白名单清除用户提交的内容，以防止XSS攻击。
  
• 输出整洁的HTML
  

Answer 2

查看JSoup，它允许您指定白名单：http://jsoup.org/cookbook/cleaning-html/whitelist-sanitizer