如何清理HTML代码以防止Java或JSP中的XSS攻击?

AntiSamy . ( That's what I did

我建议使用 Jsoup its site .

Sanitize untrusted HTML

问题

cross-site scripting

解决方案

Cleaner 具有由指定的配置 Whitelist

String unsafe = 
      "<p><a href='http://example.com/' onclick='stealCookies()'>Link</a></p>";
String safe = Jsoup.clean(unsafe, Whitelist.basic());
      // now: <p><a href="http://example.com/" rel="nofollow">Link</a></p>

Jsoup提供了更多的优势。另请参见 Pros and Cons of HTML parsers in Java

如果所有现成的选项都不够的话,那么下面有一系列关于XSS和攻击预防的优秀文章 Google Code . 如果你最终走上这条路,它应该会提供大量的信息。