组件向JSF页面注入和解释带有HTML代码的字符串。

Question

组件向JSF页面注入和解释带有HTML代码的字符串。我使用PrimeFaces和JSF2.0构建一个应用程序。我在用PrimeFaces<p:editor>组件，使用户能够创建富文本。但是这个组件的输出是HTML源代码，如下所示：String text = "<p>This text <i>contains</i> some <b>HTML</b> code.</p>";当我在一个<h:outputText>详情如下：<h:outputText value="#{bean.text}" />然后将HTML代码显示为纯文本：<p>This text <i>contains</i> some <b>HTML</b> code.</p>是否有任何组件可以解释HTML源，以便例如：<i>实际上显示为斜体和<b>那么大胆？本文含一些HTML密码。

Answer 1

JSF默认情况下会将HTML从后台bean属性中转义出来，以防止XSS攻击漏洞。若要禁用此功能，只需将escape属性的<h:outputText>到false.

<h:outputText ... escape="false" />

这样，HTML就不会被转义，因此将被Web浏览器解释。

---

不相干对于具体的问题，注意XSS攻击，因为这里基本上是重新显示用户控制的输入未转义。你可能需要事先消毒。

• XSS背后的一般概念是什么？

• JSF中的CSRF、XSS和SQL注入攻击预防

• 服务器端HTML杀菌剂/JSF清理

• 在h：outputText中转义所有内容，但行中断