Java中如何清理URL转义字符串？OWASP库是否支持该功能？

首先明确：OWASP HTML Sanitizer（即你使用的org.owasp.html.PolicyFactory）本身不支持直接清理URL转义后的字符串，它只会解析标准HTML字符，所以像%3cscript%3ealert(...)%3c/script%3e这类URL编码内容会被当成普通文本处理，无法识别为HTML标签进行过滤。

先做URL解码的方案分析 #

你考虑用URLDecoder.decode(oldValue, StandardCharsets.UTF_8)先解码再清理的思路是可行的，但要注意几个潜在问题：

• 重复解码风险：如果文本本身包含合法的%字符（比如统计数据里的50%），或者被多次编码过（比如%253cscript%253e），解码后会改变原有合法内容。比如%25会被解码成%，二次解码就会把原本的编码内容进一步解析成HTML标签。
• 半编码内容的乱码问题：如果文本是部分编码、部分未编码的混合状态，解码后可能出现乱码或意外的HTML结构，反而引入新的安全风险。
• 异常触发场景：URLDecoder.decode会在以下情况抛出IllegalArgumentException：
  • 遇到不完整的转义序列（比如%2，缺少后续两位十六进制字符）
  • %后面跟非十六进制字符（比如%G、%!这类无效组合）

可行的处理建议 #

1. 解码时必须捕获IllegalArgumentException，遇到异常直接返回原文本（或做容错处理），避免整个流程崩溃。
2. 如果业务场景明确输入只会被URL编码一次，可以放心解码后再清理；如果不确定，建议先做简单特征判断（比如检查是否包含%3c、%3e这类HTML标签的URL编码形式），再决定是否解码。
3. 解码后务必经过PolicyFactory的清理步骤，确保所有潜在恶意HTML都被过滤。

内容的提问来源于stack exchange，提问作者programmer