Почему использование в текстовом скриптинге вызывает ошибку XSS? - PullRequest
Новая
       9

Почему использование в текстовом скриптинге вызывает ошибку XSS?

3 голосов
/ 19 января 2020

У меня есть этот код, который запускается и получает значение при поиске. Тем не менее, я заметил, что можно выполнить межсайтовую скриптовую атаку на определенную часть кода. Я узнал, используя ZAP . Как я могу остановить это или улучшить способ получения моих ценностей? th:utext="${query} ?: ''" плохо?

Показать на странице поиска: 

<div class="row">
  <h1 class="col-12">You searched for: </h1> <span th:utext="${query} ?: ''"></span>
  <p class="col-12">Found <span th:utext="${#lists.size(results)}">0</span> results</p>
</div>

Вставить форму: 

<form class="form-inline my-2 my-lg-0" action="/search" method="get">
  <input class="form-control mr-sm-2" type="search" placeholder="Search" aria-label="Search" name="q"
    th:value="${query} ?: ''">
  <button class="btn btn-outline-success my-2 my-sm-0" type="submit">Search</button>
</form>

Есть ли лучший способ go по этому поводу?

...