为了安全起见,应删除哪些XML标记?

Mah*_*leh 2 xss web-applications

我正在使用Java发布一个论坛发布Web应用程序,我想知道:

  1. 在像<script>标记一样发布时应该解析和删除的xml标记是什么?
  2. 我应该删除标记并保留内容,还是删除包含内容的标记?
  3. 删除它们的正则表达式是什么?

McD*_*ell 5

您想允许用户使用HTML格式化他们的帖子吗?

  1. 不要列出不安全的标签; 列出安全标签,只接受这些标签
  2. 这取决于你
  3. 之前已经介绍过使用正则表达式解析HTML/XML的主题