Spring MVC 框架 XSS 和富文本的纠结

[wysnylc]

使用 HtmlUtils.htmlEscape(value);会把& <> ' "符号编程 Unicode 编码使 XSS 失效，应该说是任何用户输入的 HTML 和 js 都失效，这样可以完美的防止 XSS 。
但是问题来了，在富文本中用户会使用编辑器编辑文本加入 HTML 标签，但是由于<>等已经被过滤转义那么所有的 HTML 标签都会挂掉。
不知道大家明白我的问题了吗，求一个解决方案蟹蟹

[smilezino]

用 jsoup 过滤
针对图片地址再做一次代理

[wysnylc]

@smilezino 十分感谢，世界需要你这样的英雄。

[lidream]

您好，我的 filter 把后台的富文本编辑器也过滤了，请问用您是怎么用 jsoup 解决的？可不可以让我参考一下。

[wysnylc]

@lidream #3 白名单或者设置过滤级别.