Sanitize ticket text at presentation time to avoid unintended html encoding

James Moger

2014-09-17 a5962734a421184fef072d805424e15518633973

 src/main/java/com/gitblit/wicket/panels/MarkdownTextArea.java

@@ -20,12 +20,12 @@
import org.apache.wicket.ajax.form.AjaxFormComponentUpdatingBehavior;
import org.apache.wicket.markup.html.basic.Label;
import org.apache.wicket.markup.html.form.TextArea;
import org.apache.wicket.model.IModel;
import org.apache.wicket.model.PropertyModel;
import org.apache.wicket.util.time.Duration;

import com.gitblit.utils.MarkdownUtils;
import com.gitblit.wicket.GitBlitWebApp;
import com.gitblit.wicket.SafeTextModel;

public class MarkdownTextArea extends TextArea {

@@ -35,7 +35,7 @@

   protected String text = "";

   public MarkdownTextArea(String id, final SafeTextModel previewModel, final Label previewLabel) {
   public MarkdownTextArea(String id, final IModel<String> previewModel, final Label previewLabel) {
      super(id);
      setModel(new PropertyModel(this, "text"));
      add(new AjaxFormComponentUpdatingBehavior("onblur") {
@@ -65,12 +65,13 @@
      setOutputMarkupId(true);
   }

   protected void renderPreview(SafeTextModel previewModel) {
   protected void renderPreview(IModel<String> previewModel) {
      if (text == null) {
         return;
      }
      String html = MarkdownUtils.transformGFM(GitBlitWebApp.get().settings(), text, repositoryName);
      previewModel.setObject(html);
      String safeHtml = GitBlitWebApp.get().xssFilter().relaxed(html);
      previewModel.setObject(safeHtml);
   }

   public String getText() {