关于用户可以提交HTML元素的尝试:
需求:用户可以提交一个定义好的表格,然后在显示的时候呈现出用户需要的效果;
这一要求实现的关键不在于如何在页面中显示用户订制好的HTML代码(使用JSTL的<c:out value="${htmlData}" escapeXml="false">),而在于如何控制不让用户提交脚本数据、iframe等元素。
这里给出一个简单的验证用户提交的数据中是否含有script和iframe数据的java实现:
对于脚本我们知道在页面中可能有如下两类情况:
<script language="javascript">
//code area
</script>
<input type="button" οnclick="javascript:alert(123)"/>
为此,一个简单的正则表达式处理为:
[color=blue]isJavascript_1 = "(?:<script.*?>)((\\n|\r|.)*?)(?:<\\/script.*?>)";
isJavascript_2 = ".*script.*";[/color]
而对于iframe我们知道IE和firefox在实际的处理起来,IE闲的比较宽松,如下的情况都是可以被解析的:
<iframe src=""/>
<iframe src=""></iframe>
<iframe src="">
为此,设计正则表达式的匹配为:
[color=blue]isIframe = "(?:<iframe.*?>)";[/color]
使用java程序实现的时候我选择了oro,简单的代码实现如下:
[code] public static boolean hasIframe(String iframeStr){
boolean isIframe = false;
try{
pattern = compiler.compile("(?:<iframe.*?>)",Perl5Compiler.CASE_INSENSITIVE_MASK);
PatternMatcher matcher = new Perl5Matcher();
isExist = matcher.contains(iframeStr,pattern);
}catch(MalformedPatternException e){
isExist = true;
}
return isExist;
}[/code]
一点分析:
javaeye的论坛中如果写入iframe或者脚本数据进去的话,会被部分执行,程序的处理可能是转化"<"为了"<"
需求:用户可以提交一个定义好的表格,然后在显示的时候呈现出用户需要的效果;
这一要求实现的关键不在于如何在页面中显示用户订制好的HTML代码(使用JSTL的<c:out value="${htmlData}" escapeXml="false">),而在于如何控制不让用户提交脚本数据、iframe等元素。
这里给出一个简单的验证用户提交的数据中是否含有script和iframe数据的java实现:
对于脚本我们知道在页面中可能有如下两类情况:
<script language="javascript">
//code area
</script>
<input type="button" οnclick="javascript:alert(123)"/>
为此,一个简单的正则表达式处理为:
[color=blue]isJavascript_1 = "(?:<script.*?>)((\\n|\r|.)*?)(?:<\\/script.*?>)";
isJavascript_2 = ".*script.*";[/color]
而对于iframe我们知道IE和firefox在实际的处理起来,IE闲的比较宽松,如下的情况都是可以被解析的:
<iframe src=""/>
<iframe src=""></iframe>
<iframe src="">
为此,设计正则表达式的匹配为:
[color=blue]isIframe = "(?:<iframe.*?>)";[/color]
使用java程序实现的时候我选择了oro,简单的代码实现如下:
[code] public static boolean hasIframe(String iframeStr){
boolean isIframe = false;
try{
pattern = compiler.compile("(?:<iframe.*?>)",Perl5Compiler.CASE_INSENSITIVE_MASK);
PatternMatcher matcher = new Perl5Matcher();
isExist = matcher.contains(iframeStr,pattern);
}catch(MalformedPatternException e){
isExist = true;
}
return isExist;
}[/code]
一点分析:
javaeye的论坛中如果写入iframe或者脚本数据进去的话,会被部分执行,程序的处理可能是转化"<"为了"<"