HtmlSanitizer库处理JSON中HTML内容时的属性保留问题解析

问题背景

在使用HtmlSanitizer库进行内容安全处理时，开发者遇到一个典型场景：需要处理存储在JSON字符串中的HTML内容。原始数据包含带有href和class属性的标签，但经过HtmlSanitizer处理后，这些属性被意外移除，即使这些属性已被明确允许。

核心问题分析

1. 双重转义问题：JSON字符串中的HTML内容经过了两层转义处理，导致HtmlSanitizer无法正确识别HTML结构
2. 处理顺序不当：直接对整个JSON字符串进行HTML消毒，而非针对其中的HTML片段
3. 引号冲突：JSON标准要求使用双引号，而HTML属性值通常也使用双引号，导致解析冲突

解决方案

推荐方案：分层处理

1. 先解析JSON：首先将JSON字符串完整解析为对象
2. 提取HTML内容：从解析后的对象中获取包含HTML的字段值
3. 单独消毒HTML：仅对提取出的HTML内容进行消毒处理
4. 重建JSON：将消毒后的HTML内容重新放回JSON结构

代码示例（伪代码）

var originalJson = "{\"content\":\"<a href=\\\"https://example.com\\\">link</a>\"}";
var jsonObject = JsonConvert.DeserializeObject(originalJson);

var sanitizer = new HtmlSanitizer();
sanitizer.AllowedAttributes.Add("class");
sanitizer.AllowedAttributes.Add("href");

jsonObject.content = sanitizer.Sanitize(jsonObject.content);
var sanitizedJson = JsonConvert.SerializeObject(jsonObject);

替代方案：预处理转义字符

如果必须直接处理JSON字符串，可以考虑：

1. 临时替换内部转义的双引号为单引号
2. 进行HTML消毒
3. 恢复原始引号格式

技术要点

1. HtmlSanitizer的工作范围：该库设计用于处理纯HTML内容，不具备JSON解析能力
2. 转义字符的处理：多层转义会导致解析器混淆HTML结构
3. 内容安全边界：消毒处理应该在最内层的HTML内容上执行，而不是外层容器

最佳实践建议

1. 避免在JSON中嵌套需要消毒的HTML内容
2. 如果必须嵌套，确保采用分层处理策略
3. 考虑使用CDATA区块或Base64编码来存储包含特殊字符的HTML片段
4. 在数据库层面，可以探索专门的XML/JSON字段类型来存储这类结构化内容

总结

处理JSON中的HTML内容消毒需要特别注意数据格式的层次结构。HtmlSanitizer作为专业的HTML消毒工具，应该仅应用于纯HTML内容层面。通过合理的分层处理和数据流设计，可以既保证内容安全，又保留所需的HTML属性和结构。