html - 如何在 OWASP Java HTML Sanitizer 中包含 PolicyBuilder 中的所有元素

Question

有什么方法可以允许策略中的所有内容，然后我只需 .disallow() 几个我知道会导致问题的元素和属性。 例如，不要执行“

 PolicyFactory policy = new HtmlPolicyBuilder()
                .allowElements("table", "tr", "td", "href", "body", "th", "font", "button", "input", "select")

我能做到

 PolicyFactory policy = new HtmlPolicyBuilder()
                .allowElements(Include all elements)

注意:我不想使用 Antisamy。

Answer 1

这是不可能的，因为 OWASP Java HTML Sanitizer 是白名单过滤器，而不是黑名单过滤器。

默认情况下， sanitizer 不允许所有内容，您必须知道您希望应用程序接收什么。