我應該怎么做才能防止Spring MVC中的XSS？現在，我只是將輸出用戶文本的所有位置都放入JSTL <c:out>標簽或fn:escapeXml()函數中，但這似乎容易出錯，因為我可能會錯過一個位置。有沒有簡單的系統方法可以防止這種情況？也許像過濾器之類的？我通過@RequestParam在控制器方法上指定參數來收集輸入。
3 回答
不負相思意
TA貢獻1777條經驗 獲得超10個贊
在Spring中，您可以轉義由<form>標記生成的JSP頁面中的html 。這為XSS攻擊提供了很多途徑，并且可以通過以下三種方式自動完成：
對于web.xml文件中的整個應用程序：
<context-param>
<param-name>defaultHtmlEscape</param-name>
<param-value>true</param-value>
</context-param>
對于文件本身中給定頁面上的所有表單：
<spring:htmlEscape defaultHtmlEscape="true" />
對于每種形式：
<form:input path="someFormField" htmlEscape="true" />
- 3 回答
- 0 關注
- 844 瀏覽
添加回答
舉報
0/150
提交
取消