使用 HtmlUtils.htmlEscape(value);会把& <> ' "符号编程 Unicode 编码使 XSS 失效,应该说是任何用户输入的 HTML 和 js 都失效,这样可以完美的防止 XSS 。 但是问题来了,在富文本中用户会使用编辑器编辑文本加入 HTML 标签,但是由于<>等已经被过滤转义那么所有的 HTML 标签都会挂掉。 不知道大家明白我的问题了吗,求一个解决方案蟹蟹