инъекция javascript в калитку

Question

У меня есть проект J2EE, который использует каркас wicket. Я хочу знать, как я могу предотвратить внедрение JavaScript в калитку?

Answer 1

Хотя я не думал, что способ, которым вы сформулировали свой вопрос, заслуживает его (без подробностей, без фона, без примера постановки проблемы, подразумеваемой восприимчивости к инъекциям и т. Д.), Я откопал некоторые детали из «Отлично» Калитка в действии :

Калитка защищена по умолчанию

Вам никогда не нужно беспокоиться о 14-летние прыщавые лица пытаются взломать ваше веб-приложение. Для этого им придется угнать сессию а затем угадать правильную страницу идентификаторы и номера версий, которые будет относительно сессии и соответствующие пути компонентов. Вы хотите должен быть настойчивым хакером, чтобы вытащить это выключено. Вы можете сделать свою калитку приложение еще более защищено от по умолчанию путем шифрования запросов с помощью, например, CryptedUrlWebRequestCodingStrategy.

Answer 2

Все компоненты Wicket по умолчанию экранируют строки (по меткам, текстовым полям и т. Д.), Что позволяет избежать наиболее распространенных проблем, связанных с внедрением JavaScript.

Однако следует соблюдать осторожность, если вы по какой-то причине отключили это поведение (component.setEscapeModelStrings(false)) или создали компоненты с индивидуальной визуализацией (если вы записали разметку непосредственно в вывод).