Question

在我的网络应用程序中，来自html表单的输入转到数据库，然后转到html（如论坛或评论）。

我想知道如何保护我的网络应用？我应该从textarea中删除哪些字符（html标签）？

我的网络应用程序在Spring MVC中，但规则可能更为通用。

Answer 1

如果您使用

<c:out value="text" />

core tag它将转义字符，它们不会被解释为HTML代码。它有一个名为escapeXml的属性，它可以是true或false来转义字符，但默认情况下它是真的。