3 Fragen zu Owasp

Ein möglicher Grund, warum der OWASP HTML Sanitizer die Zeilenabstände vergrößert, könnte sein, dass der Sanitizer bestimmte CSS-Stile entfernt oder verändert, die für die ursprüngliche Formatierung der Zeilenabstände verantwortlich sind. Der Sanitizer ist darauf ausgelegt, potenziell gefährlichen Code zu entfernen, was auch dazu führen kann, dass harmlose, aber nicht explizit erlaubte Stile entfernt werden. Hier sind einige spezifische Punkte, die überprüft werden könnten: 1. **Entfernung von Inline-CSS**: Der Sanitizer könnte Inline-CSS-Stile entfernen, die die Zeilenabstände definieren. 2. **Whitelist von CSS-Eigenschaften**: Möglicherweise sind nicht alle benötigten CSS-Eigenschaften in der Whitelist des Sanitizers enthalten. 3. **Standard-CSS**: Der Sanitizer könnte Standard-CSS anwenden, das andere Zeilenabstände als die ursprünglich definierten hat. Um das Problem zu beheben, könnte man: - Die Konfiguration des Sanitizers überprüfen und anpassen, um sicherzustellen, dass die benötigten CSS-Eigenschaften erlaubt sind. - Externe CSS-Dateien verwenden, die nicht vom Sanitizer beeinflusst werden. - Nach dem Sanitizing-Prozess zusätzliche CSS-Regeln anwenden, um die gewünschten Zeilenabstände wiederherzustellen. Weitere Informationen zum OWASP HTML Sanitizer findest du hier: [OWASP Java HTML Sanitizer](https://owasp.org/www-project-java-html-sanitizer/).

Um sicherzustellen, dass der OWASP HTML Sanitizer die Zeilenabstände nicht vergrößert, sollten die CSS-Eigenschaften `line-height` und `margin` (insbesondere `margin-top` und `margin-bottom`) zugelassen werden. Diese Eigenschaften steuern den Zeilenabstand und die Abstände zwischen den Elementen. Hier ist ein Beispiel, wie du diese Eigenschaften in der Konfiguration des OWASP HTML Sanitizers zulassen kannst: ```java PolicyFactory policy = new HtmlPolicyBuilder() .allowElements("p", "span", "div", "br") .allowAttributes("style").onElements("p", "span", "div") .allowStyling() .allowCssStyles("line-height", "margin", "margin-top", "margin-bottom") .toFactory(); ``` Stelle sicher, dass du die entsprechenden Elemente und Attribute in deiner Policy konfigurierst, um die gewünschten CSS-Eigenschaften zuzulassen. Weitere Informationen findest du in der [Dokumentation des OWASP HTML Sanitizers](https://owasp.org/www-project-java-html-sanitizer/).

Eine Alternative zur Verwendung von `allowCssStyles` im OWASP HTML Sanitizer ist die Verwendung von `allowStyling` in Kombination mit einer benutzerdefinierten PolicyFactory. Hier ist ein Beispiel, wie das gemacht werden kann: ```java import org.owasp.html.PolicyFactory; import org.owasp.html.Sanitizers; public class HtmlSanitizerExample { public static void main(String[] args) { PolicyFactory policy = Sanitizers.FORMATTING.and(Sanitizers.STYLES); String unsafeHtml = "<div style=\"color: red;\">Hello, world!</div>"; String safeHtml = policy.sanitize(unsafeHtml); System.out.println(safeHtml); } } ``` In diesem Beispiel wird `Sanitizers.STYLES` verwendet, um CSS-Stile zu erlauben. Du kannst die PolicyFactory weiter anpassen, um spezifische Stile oder andere HTML-Elemente zu erlauben oder zu verbieten. Weitere Informationen findest du in der [Dokumentation des OWASP HTML Sanitizers](https://github.com/OWASP/java-html-sanitizer).