JEditorPaneHTMLEditorKitParserMethodSanitizer清理器

import javax.swing.text.html.parser.*;
import javax.swing.text.html.HTMLEditorKit;
import java.io.*;
public class SimpleSanitizer extends HTMLEditorKit.ParserCallback {
    private final StringBuilder cleaned = new StringBuilder();
    @Override
    public void handleStartTag(HTML.Tag t, MutableAttributeSet a, int pos) {
        if (!t.equals(HTML.Tag.SCRIPT)) {
            cleaned.append("<").append(t.toString());
            // 可以将属性重新拼接（注意属性值中的引号转义）
            cleaned.append(">");
        }
    }
    @Override
    public void handleText(char[] text, int pos) {
        cleaned.append(text);
    }
    @Override
    public void handleEndTag(HTML.Tag t, int pos) {
        if (!t.equals(HTML.Tag.SCRIPT)) {
            cleaned.append("</").append(t.toString()).append(">");
        }
    }
    public String getCleanedHtml() {
        return cleaned.toString();
    }
    // 使用方式
    public static void main(String[] args) throws Exception {
        String input = "<b>bold</b><script>alert('xss')</script>";
        SimpleSanitizer sanitizer = new SimpleSanitizer();
        HTMLEditorKit.Parser parser = new ParserDelegator();
        parser.parse(new StringReader(input), sanitizer, true);
        String safe = sanitizer.getCleanedHtml();
        System.out.println(safe); // "<b>bold</b>"
    }
}

与 JEditorPane 集成的完整建议

1. 获取原始 HTML（可能来自文件、网络或用户输入）。
2. 使用清理器（如 Jsoup 或 OWASP）清理字符串。
3. 设置到 JEditorPane：

   JEditorPane editorPane = new JEditorPane();
   editorPane.setContentType("text/html");
   editorPane.setEditable(false); // 通常用于显示而非编辑
   editorPane.setText(cleanHtml);

注意事项

• 性能：第三方库通常比自定义回调更高效且安全。
• 版本兼容性：确保使用的库版本与 Java 版本兼容，Jsoup 的 Whitelist 在较新版本中已弃用，改用 Safelist。
• 预防 CSS 攻击：清理器也应关注 <style> 标签和 style 属性中的潜在危险（如 expression()、javascript: 等）。
• ：HTML 包含由 Java 代码生成的动态数据，请确保这些数据也经过转义（例如使用 StringEscapeUtils.escapeHtml4()）。

• JEditorPane + HTMLEditorKit：用于渲染 HTML,但无内置清理。
• Parser Method：指解析器的回调方法，可用于构建自定义过滤器,但不推荐用于高强度安全场景。
• Sanitizer 清理器：推荐使用专门的安全库（Jsoup 或 OWASP HTML Sanitizer）在 HTML 注入 JEditorPane 之前进行安全处理。

如果您能提供更具体的上下文（例如您是想自己编写清理器，还是想优化现有代码）,我可以提供更针对性的帮助。