Проблема безопасности XSS

Question

При использовании межсайтового скриптинга - XSS в приложении J2EE Struts 2.0.9. Когда я помещаю тег <Script> в URL, он выполняет JavaScript, который представляет угрозу безопасности. Есть ли решение для преодоления этой проблемы, кроме перехода на более высокую версию Struts.

Answer 1

Просто экранируйте управляемый пользователем ввод во внешнем интерфейсе.

В JSP / JSTL вы должны использовать c:out

<c:out value="${input}" /> 

для управляемого пользователем ввода вместо простого EL

${input}

В Struts эквивалент c:out равен html:text

<html:text value="${input}" />

В исходном коде Java вам не нужно беспокоиться об этом. Он не интерпретирует JS за String с (если, конечно, вы не используете Rhino или около того;)).

Answer 2

Создайте постоянный массив строк и проверьте этот массив на правильное имя переменной при запросе / вызове URL.

Пример:

      http://localhost:8080/updaterecord.do?**name**="david"

      http://localhost:8080/updaterecord.do?**ssn**="10-787-78787-77"

name и ssn push to string array и проверка параметра URL по этому массиву.