ユーザーがhtmlを入力できるようにしますが、スクリプトやリンクは使用できません。

Question

私はJavaで春のプロジェクトを扱っています。私は、ユーザ入力からすべてのhtmlタグをフィルタリングする入力フィールドにスクリプトを挿入するのを防ぐために、Cross Scripting Filterをサーバに追加しました。

いくつかの入力フィールドに多くのユーザーが入力した書式付きテキストが問題であり、要求を送信した後にテスト構成が消えてしまいました。

ユーザーに基本的なhtmlタグを入力させるにはどうすればよいですか？

私はセキュリティについて非常に懸念しています。ですから、クライアントサイドとサーバーの両方のコンテンツをチェックして、スクリプトやiframeのような有害なHTMLタグがないことを確認し、送信前にコンテンツをプレビューできる方がよいでしょう。

Answer 1

あなたはそれをあなたがホワイトリストを作成することができ、https://jsoup.org/（バックエンドのJava）を使用することができます。

ユーザータイプがロードされているものを非同期的にあなたがその上にJSパーサでそれを解析することができる場合：this one

あなたは、ヘッダーcontent security policyを使用することができ、追加のセキュリティとしても存在します。ただ、いくつかの提案

.. [HTMLのうちフィルタリングのJavaScript]の