JEditorPaneHTMLEditorKitParserIsolation隔离

本文目录导读：

1. 安全隔离（防止 XSS 或脚本执行）
2. 解析器与渲染器隔离
3. 文档/上下文隔离
4. 关于“Parser Isolation”的特定含义
5. 总结表格

这个问题看起来是在询问关于 JEditorPane、HTMLEditorKit 以及 HTML 解析器的 隔离（Isolation） 机制，这通常涉及到安全、沙箱（sandbox）或解析器与渲染引擎的分离。

在 Java Swing 中，JEditorPane 结合 HTMLEditorKit 可以显示和编辑 HTML，但默认情况下，它的 HTML 解析器（parser）与渲染引擎（view factory）是高度耦合的，且功能有限（仅支持 HTML 3.2 及部分 CSS 1.0）。

你提到的“隔离”（Isolation）通常指以下几种情况之一：

1. 安全隔离： 防止 HTML 解析过程中执行恶意脚本（如 <script> 标签）。
2. 解析器与渲染器隔离： 使用自定义解析器替换默认的 HTMLDocument 或 HTMLEditorKit.Parser，而不影响 Swing 的视图层。
3. 上下文隔离： 在不同组件或线程中，避免解析状态互相干扰（如样式表或文档结构冲突）。

下面针对这几种情况分别说明解决方案：

安全隔离（防止 XSS 或脚本执行）

默认的 HTMLEditorKit 不会执行 JavaScript 或 Java Applet，它只解析标签和样式，但为了安全考虑,你可以进一步限制：

• 禁用图片加载：

  JEditorPane editorPane = new JEditorPane();
  editorPane.getDocument().putProperty("imageCache", null);

• 过滤 HTML 标签： 使用自定义的 HTMLReader 或第三方库（如 Jsoup）在设置文本前进行过滤。

• 自定义 ViewFactory： 让未知标签（如 <script>）不生成视图。

  HTMLEditorKit kit = new HTMLEditorKit() {
      @Override
      public ViewFactory getViewFactory() {
          return new HTMLFactory() {
              @Override
              public View create(Element elem) {
                  // 阻止 script 标签渲染
                  AttributeSet attrs = elem.getAttributes();
                  if (attrs != null && "script".equals(attrs.getAttribute(StyleConstants.NameAttribute))) {
                      return new InlineView(elem); // 或者 return null;
                  }
                  return super.create(elem);
              }
          };
      }
  };

解析器与渲染器隔离

如果你希望自定义解析逻辑（比如解析为 HTML5 的子集），但仍使用 Swing 的视图树渲染,你需要隔离：

• 步骤： 覆盖 HTMLEditorKit.getParser() 或使用自定义的 ParserDelegator（但这在 JDK 9+ 中受限，因为 ParserDelegator 变为内部 API）。

• 推荐方案： 使用 Jsoup 解析 HTML，生成干净的 HTML，再交给 JEditorPane 渲染。

  // 隔离解析过程
  import org.jsoup.Jsoup;
  import org.jsoup.safety.Safelist;
  String dirtyHtml = "<p>Hello <script>alert('xss');</script></p>";
  String cleanHtml = Jsoup.clean(dirtyHtml, Safelist.basic()); // 隔离的纯净输出
  // 将 cleanHtml 传给 JEditorPane，不再依赖内部解析器
  editorPane.setText(cleanHtml);

• 完全替换解析器（高级）： 重写 HTMLEditorKit.createDefaultDocument()，返回使用你自定义 Reader 解析后的 HTMLDocument，这样解析逻辑与默认的 ParserDelegator 完全隔离。

文档/上下文隔离

如果你在同一 JVM 内使用多个 JEditorPane，但希望它们不共享样式表或解析状态：

• 确保每个组件有独立的 HTMLEditorKit：

  JEditorPane pane1 = new JEditorPane();
  pane1.setEditorKit(new HTMLEditorKit()); // 每个 pane 持有独立的 kit 实例
  JEditorPane pane2 = new JEditorPane();
  pane2.setEditorKit(new HTMLEditorKit()); // 不要共享 kit

• 隔离 StyleSheet： 每个 HTMLDocument 拥有自己的 StyleSheet，如果你使用 setText()，默认会创建新文档，因此是隔离的，但如果你共享 Document,则样式会互相影响。

Parser Isolation”的特定含义

如果你的问题来自 某个特定框架或库（如 JavaFX WebView 与 Swing JEditorPane 混合，或某种企业级隔离方案）,可能需要明确上下文。

在纯 Swing 环境下：

• JEditorPane 没有内建的沙箱隔离机制（像 WebView 的 JavaScriptEnabled 那样）。
• 隔离的最佳实践： 始终用一个受信任的 Java HTML 清理库（Jsoup 或 OWASP Java HTML Sanitizer）来预处理 HTML，再喂给 JEditorPane。

总结表格

如果你能提供更具体的背景（在 OSGi 环境下解析器如何隔离”或“JEditorPane 内部 ParserCallback 的线程隔离”）,我可以进一步细化回答。