如何在彈性搜索的搜索查詢中避免腳本注入？

Question

我有一個應用程序使用Angularjs和數據庫作爲彈性搜索。對於彈性搜索版本1.3.1，默認情況下啓用動態腳本。用戶可以將數據添加到應用程序的彈性搜索中。所以在搜索時如何避免彈性搜索查詢中腳本注入的注入？

Answer 1

1. 取決於如何構建json，如果它是類似於"{query: {match:"%s"}}"那麼它可以傳遞一個字符串以向腳本添加更多文本。
2. 檢查，如果elasticsearch對所有人發佈 - 你應該關閉它
3. 你應該使用沙盒腳本和限制庫來使用groovy。