如何在NVelocity上處理XSS

Question

Castle Project充滿了各種功能，包含了一些非常棒的子項目，並且用它進行開發一直很愉快。

我的團隊幾乎準備好提供定製的EAM，我們正在拋光我們的系統。我們嘗試了一些基本的XSS攻擊並猜測：它們都起作用了。

儘管它將在Intranet環境中運行，但我們不希望用戶意外打破整個系統，而且我們正在研究解決方案來處理XSS問題。

NVelocity在默認情況下不會逃避任何東西，所以這段代碼：

${entity.Field} 

與該字段包含喜歡的東西：

<script>alert('xss!')</script> 

會給我們一個很好的XSS警報。

微軟的AntiXSS庫看起來不錯：處理幾種可能的XSS向量，等等。我們遇到了AndyPike的helper，但是這個解決方案會讓我們重構幾千行。是的，不好。這在編輯現有實體時不會處理ActiveRecord/NVelocity自動綁定。

問題是：使用輸出編碼技術，是否有可能/建議修補Castle Project的NVelocity引擎？就像他們對Brail做的一樣？任何人有更好的主意？

謝謝！

PS：Stackoverflowers使用Castle Project會使用這樣的補丁嗎？

Answer 1

NVelocity在默認情況下不會逃避任何

哦，親愛的。然後你有很多代碼修復工作。

無法轉義文本被放入HTML並不是一個失敗，你可以糾正後的事實。是的，有些庫會篩選出明顯的錯誤輸入，但它們只是隱藏了問題，而不是很好。鑑於瀏覽器會接受大量奇怪的構造，總會有方法通過它們偷偷弄壞壞HTML，同時他們會給你誤報 - 例如，這篇文章將被禁止討論標籤<script>。

他們至多是一個臨時粘貼石膏，直到你可以解決真正的問題。

最新問題

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.

 相關問題

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.