【发布时间】:2020-05-18 00:36:22
【问题描述】:
我想在 vaadin 标签上添加一个 html 格式的字符串。该字符串来自数据库并直接进入标签,它必须使用粗体文本、换行符和其他一些花哨的文本进行格式化。我找到了几个解决方案,但这些都是针对旧版本的 vaadin,有没有办法在 vaadin flow 上做到这一点?
【问题讨论】:
-
无论您做什么,请记住注意输出清理以降低 XSS 漏洞的风险。使用 Vaadin 时,您的类路径中有 JSoup,因此您可以使用
Jsoup.clean方法来执行此操作。 -
HTML 字符串来自我的数据库,由我添加...我不会让用户添加 HTML 格式的自定义文本,所以我想目前没有漏洞?但是当我接受自定义 HTML 输入时,我绝对应该补充一点,对吗?
-
没错。挑战在于,如果您授予可能不受信任的用户向数据库的该部分提交内容的权限,请记住稍后添加清理。因此,我通常建议立即进行。
标签: html string text label vaadin