我應(yīng)該怎么做才能防止Spring MVC中的XSS？現(xiàn)在，我只是將輸出用戶文本的所有位置都放入JSTL <c:out>標(biāo)簽或fn:escapeXml()函數(shù)中，但這似乎容易出錯，因?yàn)槲铱赡軙e過一個(gè)位置。有沒有簡單的系統(tǒng)方法可以防止這種情況？也許像過濾器之類的？我通過@RequestParam在控制器方法上指定參數(shù)來收集輸入。
3 回答
不負(fù)相思意
TA貢獻(xiàn)1777條經(jīng)驗(yàn) 獲得超10個(gè)贊
在Spring中，您可以轉(zhuǎn)義由<form>標(biāo)記生成的JSP頁面中的html 。這為XSS攻擊提供了很多途徑，并且可以通過以下三種方式自動完成：
對于web.xml文件中的整個(gè)應(yīng)用程序：
<context-param>
<param-name>defaultHtmlEscape</param-name>
<param-value>true</param-value>
</context-param>
對于文件本身中給定頁面上的所有表單：
<spring:htmlEscape defaultHtmlEscape="true" />
對于每種形式：
<form:input path="someFormField" htmlEscape="true" />
- 3 回答
- 0 關(guān)注
- 847 瀏覽
添加回答
舉報(bào)
0/150
提交
取消