在我的項目中檢測到XSS

在我的代碼中檢測到XSS。在我的項目中檢測到XSS

String ref = new CellReference(rownum, columnIndex).formatAsString(); 
_out.write(ref);

它在此行檢測到。

我一直在使用Appscan。試過這個：

String ref = ESAPI.encoder() 
    .encodeForHTMLAttribute(new CellReference(rownum, columnIndex) 
    .formatAsString()); 
_out.write(ref);`

但是，它沒有奏效。請幫我補救這個XSS發現。

對於非常具體的編程問題，應該真的問這個問題。投票移動... –

您是否在HTML屬性之外的任何地方使用ref？如果是這樣，您可能需要根據使用ref的地方調用不同的編碼方法。 – MrWerbenjagermanjensen

@MrWerbenjagermanjensen不，我不在HTML屬性之外的任何地方使用ref。這只是在這裏使用。你有什麼想法來解決這個 –

Appscan源不會將ESAPI調用標記爲開箱驗證機制。當您重新掃描ESAPI調用應出現在跟蹤圖中的代碼時。然後，您可以將跟蹤圖中的ESAPI調用標記爲針對XSS的驗證器。一旦該API被標記，任何子序列掃描都將刪除這一發現。

2016-10-07 15:10:15 Judak

回答