Java Web 表情包功能實現：幂編輯器方案避免 XSS 注入

直接存儲 <img> 標簽並用 <c:out escapeXml="false"> 輸出極易導致 XSS 注入。本文推薦成熟的富文本編輯器 KindEditor，實現安全、易用的表情/圖片發布功能。

風險現狀

• 用戶輸入 <script>alert(1)</script> 等惡意腳本
• 後端未轉義直接入庫，前端 escapeXml="false" 直接渲染執行

KindEditor 方案優勢

• 成熟開源，社區活躍，文檔完善
• 內置表情、圖片上傳、代碼高亮等功能
• 輸出標準 HTML，前端直接渲染無需手動解析
• 可配置過濾規則，防範 XSS

集成步驟

1. 下載 KindEditor，放入項目 webapp/kindeditor/
2. JSP 引入：<script src="kindeditor/kindeditor-all.js"></script>
3. 初始化：KindEditor.create('textarea[name="content"]', { allowFileManager: true });
4. 後端接收 content 參數直接存入數據庫（建議配合 Jsoup 過濾）
5. 前端展示：${article.content}（已含 HTML 標簽）

安全加固建議

• 後端使用 Jsoup 白名單過濾：Jsoup.clean(html, Whitelist.relaxed())
• 上傳圖片驗證 MIME 類型、大小、文件名隨機化
• 設置 CSP 响應頭限制腳本來源