XSS安全問題

Question

在J2EE struts 2.0.9應用程序中使用Cross Site Scripting - XSS時。當我將<Script>標記放入URL中時，它正在執行JavaScript，這是一種安全威脅。除了動畫到更高版本的Struts以外，是否有任何解決方案可以解決此問題。

Answer 1

創建常量字符串數組，並在u請求/調用URL時檢查此數組的正確變量名稱。

實施例：

 http://localhost:8080/updaterecord.do?**name**="david" 

     http://localhost:8080/updaterecord.do?**ssn**="10-787-78787-77" 

的名稱和SSN推到字符串數組，並驗證對這個數組URL參數。

Answer 2

只是在前端逃避用戶控制的輸入。

在JSP/JSTL應該使用c:out

<c:out value="${input}" /> 

用於用戶控制的輸入而不是純EL的

${input} 

Struts的等效的c:out是html:text

<html:text value="${input}" /> 

在Java源代碼你不需要擔心對這個。它不解釋String s中的JS（除非你使用犀牛左右）;）。