FutureTask 不负责 XSS 防护，也不能自动拼接模板；它仅用于异步执行任务。XSS 防护需在数据注入 HTML 前完成转义或清洗，可将富文本清洗等耗时操作用 FutureTask 异步化，但拼接必须由模板引擎完成。
FutureTask 本身不负责 XSS 防护，也不能“自动完成”模板拼接——它只是 Java 中用于异步执行并获取结果的包装类。真正防 XSS 的是数据转义（escaping）或内容安全策略（CSP），必须在模板渲染前、数据注入 HTML 上下文前完成。卡片式布局的后端通用数据模板中，正确的做法是：**把转义逻辑前置到数据准备阶段，用 FutureTask 封装耗时但可并行的转义任务（如富文本清洗），而非让 FutureTask “自动拼接”模板**。
明确 XSS 防护的责任边界
XSS 来自未经校验/转义的用户输入被直接插入 HTML、JS 或属性上下文。防护核心是：
- 对输出到 HTML 内容区的数据，使用 HTML 实体转义（如 < →
- 对输出到 JS 字符串或事件属性的数据，使用 JavaScript 字符串转义
- 对富文本内容，需用可信的 HTML 清洗库（如 Jsoup + 白名单策略），而非简单转义
- 模板引擎（如 Thymeleaf、Freemarker）默认开启 HTML 转义，应确保未关闭 auto-escape
FutureTask 的合理使用场景
当卡片数据中包含需实时清洗的富文本字段（如用户提交的带格式评论），且清洗逻辑较重（如 Jsoup 解析+白名单过滤），可将清洗过程异步化：
- 为每条卡片数据创建一个 Callable<String>，封装 Jsoup.clean() 调用
- 用 new FutureTask<>(callable) 包装，并提交至线程池执行
- 在模板数据组装完成前，调用 future.get()（或批量用 CompletableFuture.allOf()）同步获取清洗结果
- 将清洗后的安全 HTML 字符串注入模板，由模板引擎原样输出（不二次转义）
示例：卡片数据中异步清洗富文本字段
假设卡片 DTO 含 userComment: String，需清洗后展示：
// 1. 定义清洗任务
Callable<String> cleanTask = () -> Jsoup.clean(rawComment,
Whitelist.relaxed().addTags("p", "br", "strong").addAttributes(":all", "class"));
// 2. 异步执行
FutureTask<String> future = new FutureTask<>(cleanTask);
executorService.submit(future);
// 3. 组装卡片数据时获取结果（注意异常处理）
try {
safeHtml = future.get(3, TimeUnit.SECONDS); // 超时保护
} catch (TimeoutException | ExecutionException | InterruptedException e) {
safeHtml = HtmlEscape.escapeHtml4(rawComment); // 降级为纯转义
}
card.setSafeComment(safeHtml);
关键提醒：不要混淆层级
FutureTask 不是模板引擎，也不参与 HTML 拼接逻辑。所谓“异步拼接”容易误导——拼接应在模板层（服务端渲染）或前端（CSR）完成，而后端只提供已清洗/转义好的字段值。若强行用 FutureTask 在响应中动态拼接 HTML 字符串，反而绕过模板转义机制，引入新风险。
