清理HTML風格的標籤，以防止JavaScript注入從所見即所得

Question

有已知的XSS攻擊，如：

<DIV STYLE="color: red; width: expression(alert('XSS')); background-image: url('expression.png') "> 

或者

<DIV STYLE="background-image: url(javascript:alert('XSS')); border-image: url(images/javascript.png) 30 round round;"> 

或者

<META HTTP-EQUIV=Refresh CONTENT="1; URL=javascript:alert(/xxs/.source)">empty 

，我需要消毒HTML這樣的：

<DIV STYLE="color: red; background-image: url('expression.png') "> 

或者

<DIV STYLE="border-image: url(images/javascript.png) 30 round round;"> 

或者

empty 

有Java庫，提供這樣的保護？

Answer 1

這一個肯定的：https://www.owasp.org/index.php/Category:OWASP_AntiSamy_Project

，也許這一個（快）： https://www.owasp.org/index.php/OWASP_Java_HTML_Sanitizer_Project