Beetl解决XSS问题（AntiSamy）

很多时候，我们为了安全，会对存储的信息，进行转义，过滤等处理，这样带来的坏处是，破坏原始的数据，而且转义会占用多余的空间．

本人使用ＪＦｉｎａｌ框架，开始考虑过全局设置过滤器，有的不需要的也会转义，不是很友好～

后来发现这边文章http://www.iteye.com/topic/1123423　，通过Ｂｅｅｔｌ来处理ＸＳＳ这一类的问题

首先，自定义一个格式化类XSSDefenseFormat.java

1import org.apache.commons.lang.StringEscapeUtils;
2import org.beetl.core.Format;
3import org.owasp.validator.html.*;
4/**
5 * Created by yinjun622 on 14-8-11.
6 */
7public class XSSDefenseFormat implements Format {
8
9
10    @Override
11    public Object format(Object data, String pattern) {
12        if (null == data) {
13            return null;
14        } else {
15
16            try {
17                Policy policy = Policy.getInstance(PathKit.getRootClassPath()+"/antisamy.xml");  //antisamy.xml采用官方给出的ｅｂａｙ的模板
18                AntiSamy as = new AntiSamy(policy);
19
20                String content = (String) data;
21 　　　　　　　　　
22　　　　　　　　　　if ("escape".equals(pattern)) {
23                    content = StringEscapeUtils.escapeHtml(content);
24                }
25
26　　　　　　　　　　// clean content
27                CleanResults cr = as.scan(content);
28                content = cr.getCleanHTML();
29
30                return content;
31
32            } catch (ScanException e) {
33                return "系统错误";
34            } catch (PolicyException e) {
35                return "系统错误";
36            }
37
38        }
39    }
40}

antisamy.xml文件地址：

http://git.oschina.net/yinjun622/JFinal-Shiro-JDBC-Demo/blob/master/antisamy.xml

然后注册该格式化

groupTemplate.registerFormat("xss", new XSSDefenseFormat());

最后针对需要的地方，进行ｘｓｓ处理，默认是不对ｈｔｍｌ进行转义输出的，因为在使用副编辑器后，会带用ｈｔｍｌ，转义的话页面显示需要处理，所以默认不转义．

${a.name, xss}

如果输出的ｈｔｍｌ需要转义那么使用：

${a.name, xss＝"escape"}

使用结果不再弹出ａｌｅｒｔ提示

可以根据自己实际需求，自定义一些其他方法．