关于XSS的GWT安全性

Question

我正在构建一个GWT应用程序。但我不希望用户输入任何HTML或JavaScript。不应将任何条目解释为html或javascript。你能建议任何符合我需求的java库吗？

Answer 1

您有责任清理用户输入，但GET确实会对其进行大量的XSS保护。您可以使用SimpleHtmlSanitizer.sanitizeHtml(input);

中内置的GET进行基本清理

Answer 2

HtmlSanitizer界面文档明确指出＆＃34;在将输入发送到服务器之前，不应使用SafeHtml来清理输入。＆＃34;因此，如果您不希望用户输入任何html或javascript＆＃34;，那么这不是解决方案。