Spring中html字符编解码

最新推荐文章于 2024-09-09 22:16:15 发布

鞠骞的博客

最新推荐文章于 2024-09-09 22:16:15 发布

阅读量1.9k

点赞数

分类专栏： Java开发文章标签： spring 编码

本文链接：https://blog.csdn.net/u010695794/article/details/78046854

版权

在Spring MVC中，当表单提交HTML代码时，Spring会自动将其转义。文章介绍了这一行为的原因，以及如何通过StringEscapeUtils或HtmlUtils进行解码，以保存原始的HTML内容到数据库。此外，还分享了常见HTML转义字符的转换表，并讨论了在处理用户输入时的安全考虑。尽管尝试了Spring的表单转义配置，但未能阻止自动转义，作者对此感到疑惑。

摘要由CSDN通过智能技术生成

Spring中html字符编解码

场景描述

今天基于 jeesite 在做一个简单的curd的功能时,遇到个比较有意思的问题,在此记录一下,在使用springMVC form标签作双向绑定时,如果文本域中填写的为html代码,提交到后端会自动进行转义,如下:

1	<form:textarea path="content" id="content" style="width:600px;height:300px;"/>

提交后,在后端接收到的content自动会将<,> &等符号自动转义成 \<,\>,\&等字符,导致落地到数据库时的内容已经是转义后的内容了。

原因分析

一开始比较疑惑,为什么会转义呢? 在Controller中看到的对象中的属性绑定的值确实是已经转义的。检查代码时,没有发现有手动转义的地方,在检查父级代码时,至看到BaseController此方法,才得以解惑。


/**
 * 初始化数据绑定
 * 1. 将所有传递进来的String进行HTML编码，防止XSS攻击
 * 2. 将字段中Date类型转换为String类型
 */
@InitBinder
protected void initBinder(WebDataBinder binder) {
      
	// String类型转换，将所有传递进来的String进行HTML编码，防止XSS攻击
	binder.registerCustomEditor(String.class, new PropertyEditorSupport() {
      
		@Override
		public void setAsText(String text) {
      
			setValue(text == null ? null : StringEscapeUtils.escapeHtml4(text.trim()));
		}