使用Jsoup清理URL后出现转义问题，如何兼顾XSS防护与URL正确性？

你的问题根源在于Jsoup.clean是为HTML内容设计的清理工具，直接把URL传入会触发HTML实体转义（比如&转成&），但URL本身不需要这种转义，导致WebView解析参数异常。以下是两种靠谱的解决思路：

思路1：精准处理URL的参数/路径（推荐） #

不要把整个URL丢给Jsoup.clean，而是拆分URL结构，只对可能存在XSS风险的部分（比如参数值、用户可控的路径片段）做清理，避免破坏URL的合法结构。

代码示例（Android环境）： #

@Override
protected void onNewIntent(Intent intent) {
    super.onNewIntent(intent);
    String intentUrl = loadIntentUrl(intent);
    if (intentUrl != null) {
        String safeUrl = sanitizeUrl(intentUrl);
        Log.d("onNewIntent", "safeUrl: " + safeUrl);
        webView.loadUrl(safeUrl);
    }
}

private String sanitizeUrl(String url) {
    try {
        Uri uri = Uri.parse(url);
        Uri.Builder builder = uri.buildUpon();
        builder.clearQuery();

        // 逐个清理参数值，防止XSS注入
        for (String paramKey : uri.getQueryParameterNames()) {
            String paramValue = uri.getQueryParameter(paramKey);
            if (paramValue != null) {
                // 用Jsoup清理参数中的恶意HTML/JS代码
                String safeValue = Jsoup.clean(paramValue, Safelist.basic().removeTags("script", "iframe", "object"));
                builder.appendQueryParameter(paramKey, safeValue);
            }
        }

        // 可选：清理路径中的恶意内容（如果路径包含用户输入）
        String safePath = Jsoup.clean(uri.getPath(), Safelist.basic());
        builder.path(safePath);

        return builder.build().toString();
    } catch (Exception e) {
        // URL解析失败时返回原始值，或做降级处理
        return url;
    }
}

优势： #

• 只针对用户可控的部分做XSS防护，不会破坏URL的合法结构
• 避免误转义URL中的特殊字符（比如&、=等）

思路2：反转义HTML实体（快速适配） #

如果不想重构代码，可在Jsoup.clean之后，用Jsoup自带的Entities.unescape()方法还原HTML实体，比手动replaceAll("&", "&")更可靠（能处理所有HTML实体，比如<、>等）。

代码示例： #

@Override
protected void onNewIntent(Intent intent) {
    super.onNewIntent(intent);
    String intentUrl = loadIntentUrl(intent);
    if (intentUrl != null) {
        String cleanedUrl = Jsoup.clean(intentUrl, Safelist.basic());
        // 反转义所有HTML实体，还原URL原始结构
        String safeUrl = Entities.unescape(cleanedUrl);
        Log.d("onNewIntent", "safeUrl: " + safeUrl);
        webView.loadUrl(safeUrl);
    }
}

注意： #

这种方式适合URL本身不包含合法HTML实体的场景，如果参数值里原本就有&这类实体，反转义会破坏原有内容，所以优先推荐思路1。

内容的提问来源于stack exchange，提问作者Martin