XSS安全问题

Question

在 J2EE struts 2.0.9 应用程序中使用跨站点脚本 - XSS 时。当我将

Answer 1

创建常量字符串数组，并在请求/调用 URL 时检查该数组的变量名称是否正确。

示例：

      http://localhost:8080/updaterecord.do?**name**="david"

      http://localhost:8080/updaterecord.do?**ssn**="10-787-78787-77"

name 和 ssn 推送到字符串数组，并根据该数组验证 URL 参数。

Answer 2

只需在前端转义用户控制的输入即可。

在 JSP/JSTL 中，您应该使用 c:out

<c:out value="${input}" /> 

用于用户控制的输入，而不是普通的 EL

${input}

Struts 等价于 c:out 的是 html:text

<html:text value="${input}" />

在Java源代码中你不需要担心这个。它不会解释 String 中的 JS（当然，除非您使用 Rhino 等；））。