由于在 jsp 文件中使用双引号而导致的简单错误

Question

我的 Web 应用程序的 JSP 文件中有以下代码行出现错误：

<jsp:setProperty name="db" property="userName" value="<%=request.getParameter("userName")%>"/>

我收到的错误消息是：

org.apache.jasper.JasperException： /loginbean.jsp(6,59) 属性值 request.getParameter("用户名") 是 用 " 引用，必须转义 当在值内使用时

我在某些网站上读到的是像 ' （单引号）或 " （双引号）这样的字符需要以转义序列作为前缀 \ （反斜杠），如果要使用它们，

但是，当我尝试在双引号（用户名周围）添加反斜杠前缀时，我立即收到以下错误 - “非法字符 \92- 未闭合字符串”。字面意思”

我该如何解决这个问题？

Answer 1

您应该在 value 参数上使用单引号，即：

value='<%=request.getParameter("userName")%>'

或将 org.apache.jasper.compiler.Parser.STRICT_QUOTE_ESCAPING 参数设置为 false如此处所述：

http://blogs.sourceallies.com/2009/10/strict-quote-escaping-in-tomcat/

Answer 2

如果您使用的是 Tomcat 8.5+，则属性 org.apache.jasper.compiler.Parser.STRICT_QUOTE_ESCAPING=false
不会被承认。

通过在 块中添加以下内容，我能够在 {TOMCAT_ROOT}/conf/web.xml 中成功设置该属性：

<init-param>
    <param-name>strictQuoteEscaping</param-name>
    <param-value>false</param-value>
</init-param>

Answer 3

如果您不想修改 JSP，只需

org.apache.jasper.compiler.Parser.STRICT_QUOTE_ESCAPING=false

在 {TOMCAT_ROOT}/conf/catalina.properties 文件中 设置：效果就像一个魅力！

来自这里。

Answer 4

这可以通过 IDE Regexp Replace 来修复：

(<\w+:(?:[^>]|<%=[^%]+%>)+=)"([^<"]*<%=[^%]*"[^%]*%>[^"]*)"

对于替换文本，输入：

$1'$2'

Answer 5

该示例看起来像 XSS 示例！这是一个安全漏洞。
我建议放置一个 html 编码库，例如 c:out 标记或 http://owasp-esapi-java.googlecode.com/svn/trunk_doc/latest/org/owasp/esapi/Encoder.html#encodeForHTMLAttribute%28java.lang.String%29

我还建议从经过身份验证的会话中获取用户名，如果可能的话，不要形成请求参数（除非这只是登录/注册表单！）

Answer 6

如果使用 " 作为 scriplet 分隔符，则不能在 getParameter 中使用 some 作为属性分隔符。因此将 scriptlet 的分隔符更改为 '。作为标记参数，我认为不会有问题。否则替换 :

value ="<%=request.getParameter("用户名")%>"/>

通过：

value='<%=request.getParameter("用户名")%>'/>;

Answer 7

我的情况是在项目构建期间使用 Jasper JSP 验证阶段。

从 Tomcat 8 开始，有一个新属性 strictQuoteEscaping Ant 任务和开关 -no-strictQuoteEscaping 用于运行 org.apache. jasper.JspC 从命令行。