我應(yīng)該怎么做才能防止Spring MVC中的XSS？現(xiàn)在，我只是將輸出用戶(hù)文本的所有位置都放入JSTL <c:out>標(biāo)簽或fn:escapeXml()函數(shù)中，但這似乎容易出錯(cuò)，因?yàn)槲铱赡軙?huì)錯(cuò)過(guò)一個(gè)位置。有沒(méi)有簡(jiǎn)單的系統(tǒng)方法可以防止這種情況？也許像過(guò)濾器之類(lèi)的？我通過(guò)@RequestParam在控制器方法上指定參數(shù)來(lái)收集輸入。
3 回答
不負(fù)相思意
TA貢獻(xiàn)1777條經(jīng)驗(yàn) 獲得超10個(gè)贊
在Spring中，您可以轉(zhuǎn)義由<form>標(biāo)記生成的JSP頁(yè)面中的html 。這為XSS攻擊提供了很多途徑，并且可以通過(guò)以下三種方式自動(dòng)完成：
對(duì)于web.xml文件中的整個(gè)應(yīng)用程序：
<context-param>
<param-name>defaultHtmlEscape</param-name>
<param-value>true</param-value>
</context-param>
對(duì)于文件本身中給定頁(yè)面上的所有表單：
<spring:htmlEscape defaultHtmlEscape="true" />
對(duì)于每種形式：
<form:input path="someFormField" htmlEscape="true" />
- 3 回答
- 0 關(guān)注
- 862 瀏覽
添加回答
舉報(bào)
0/150
提交
取消