尝试让用户提交自定义的HTML数据信息

关于用户可以提交HTML元素的尝试：
需求：用户可以提交一个定义好的表格，然后在显示的时候呈现出用户需要的效果；

这一要求实现的关键不在于如何在页面中显示用户订制好的HTML代码(使用JSTL的<c:out value="${htmlData}" escapeXml="false">)，而在于如何控制不让用户提交脚本数据、iframe等元素。

这里给出一个简单的验证用户提交的数据中是否含有script和iframe数据的java实现：
对于脚本我们知道在页面中可能有如下两类情况：
<script language="javascript">
//code area
</script>
<input type="button" οnclick="javascript:alert(123)"/>

为此，一个简单的正则表达式处理为：
[color=blue]isJavascript_1 = "(?:<script.*?>)((\\n|\r|.)*?)(?:<\\/script.*?>)";
isJavascript_2 = ".*script.*";[/color]

而对于iframe我们知道IE和firefox在实际的处理起来，IE闲的比较宽松，如下的情况都是可以被解析的：
<iframe src=""/>
<iframe src=""></iframe>
<iframe src="">
为此，设计正则表达式的匹配为：
[color=blue]isIframe = "(?:<iframe.*?>)";[/color]

使用java程序实现的时候我选择了oro,简单的代码实现如下：
[code] public static boolean hasIframe(String iframeStr){
boolean isIframe = false;
try{
pattern = compiler.compile("(?:<iframe.*?>)",Perl5Compiler.CASE_INSENSITIVE_MASK);
PatternMatcher matcher = new Perl5Matcher();
isExist = matcher.contains(iframeStr,pattern);
}catch(MalformedPatternException e){
isExist = true;
}
return isExist;
}[/code]

一点分析：
javaeye的论坛中如果写入iframe或者脚本数据进去的话，会被部分执行，程序的处理可能是转化"<"为了"<"