XSS攻擊多個目錄Struts 1.2

Question

我有一個支持多個不同應用程序的struts 1.2應用程序，每個應用程序都有自己的配置文件。我遇到的問題歸結爲XSS攻擊。每個應用程序設置如下...

http://www.myapp.com/app/app1/welcome.action 
http://www.myapp.com/app/app2/welcome.action 
http://www.myapp.com/app/app3/welcome.action 

其中app1，app2和app3是文件夾。我的問題是，用戶可以執行下列操作...

http://www.myapp.com/app/app1<img src=a onerror=alert("alert")>/welcome.action 

導致網站上的XSS攻擊。這個問題是因爲「app1」是一個文件夾，我不能使用servlet過濾器來阻止那裏的惡意代碼。任何人的建議？

Answer 1

創建一個Servlet過濾器並將其映射到URL模式/*作爲鏈中的第一個過濾器。然後所有請求都將通過此過濾器進行路由。在filter.doFilter()處理特殊字符如「<」。更好地看一下OWASP ESAPI（java）項目來處理這些事情：http://code.google.com/p/owasp-esapi-java/