Richtext字段的跨站点脚本漏洞问题

Question

我们正在使用Lotus Notes技术进行web应用程序开发。为了使我们的应用程序更安全，我们正在尝试修复一些安全级别的问题。我们试图解决的一个这样的问题是:跨站点脚本。

以下是问题的详细信息。作为应用程序功能的一部分，数据正在从一个网页到另一个网页进行处理，以完全填充工作流过程。在数据处理过程中，我们需要帮助来处理富文本字段、数据表单、特殊字符()，以便为第三方级别的黑客攻击提供安全保障，因为我们的应用程序是公共领域的。

跨站点脚本漏洞使黑客能够将客户端脚本(通常为JavaScript)放入网页中。XSS漏洞通常发生在应用程序接受用户输入并将其输出到页面中时，而不对其进行验证、编码或转义。

我们正在努力解决在我们的应用程序中使用CKeditor (第三方工具)的上述问题。CKeditor包含Richtext字段数据。我们无法处理来自后台的请求，以防止黑客更改请求参数。

请注意，我们在windows/Longhom 6.2英特尔上使用的是domino版本9.0.1 FP4，而CKeditor的版本是4.4.6。我们在网上搜索了处理富文本字段(ck编辑器)的xss的各种解决方案，但没有找到任何解决方案。我们还看到CK Editor升级版本没有为XSS问题提供任何修复。

请提供一个代码级的帮助来处理这个问题，以修复XSS漏洞？

Answer 1

看看内容过滤(ACF)：

https://ckeditor.com/docs/ckeditor4/latest/guide/dev_acf.html