为了安全起见,应删除哪些XML标记？

Question

我正在使用Java发布一个论坛发布Web应用程序,我想知道:

1. 在像<script>标记一样发布时应该解析和删除的xml标记是什么？
2. 我应该删除标记并保留内容,还是删除包含内容的标记？
3. 删除它们的正则表达式是什么？

Answer 1

您想允许用户使用HTML格式化他们的帖子吗？

1. 不要列出不安全的标签; 列出安全标签,只接受这些标签
2. 这取决于你
3. 之前已经介绍过使用正则表达式解析HTML/XML的主题