JSF 中的 HTML 内容呈现

Question

我有两个字段：输入和输出。在输入中，我正在编写 html 代码，按下按钮并在输出字段中查看呈现的代码。

   <h:form id="displayForm">
        <p:commandButton value="Execute" actionListener="#{screenController.executeCode}" update="displayForm:output"/>
        <h:inputTextarea value="#{screenModel.input}" rows="20" cols="165"/>
        <br/>
        <h:outputText id="output" value="#{screenModel.output}" escape="false"/>
    </h:form>

但是，当我写的时候

<script>
document.write("1")
</script>

所有页面都已呈现。我完全不了解 java-script，但我有想法。我可以在某些代码上替换文档，而不是仅在“输出”字段上进行渲染。我该怎么做？

Answer 1

将其打印在您通过<iframe> 显示的独立页面中。

无论采用何种方法，将用户控制的输入重新显示为未转义的 HTML 都会在您的服务器上打开一个巨大的 XSS attack 漏洞。您不希望最终用户能够在您的服务器上完全失控地运行 JavaScript。使用诸如Jsoup 之类的 HTML 清理工具清除所有潜在的恶意 HTML 标签和属性。