是否有可能使一個XSS在這種情況下

Question

我有下面的代碼片段JSP文件：

<form action=<%= request.getContextPath() %>/query_flight? ... 

當使用codesecue做靜態代碼檢查，我得到了一個XSS攻擊的警告：

但我很困惑，因爲context.getContextPath是Java EE標準API。是否有可能進行XSS攻擊？

有什麼建議嗎？

Answer 1

該工具是錯誤的。也就是說，我會使用<c:url> JSTL標籤來生成URL。它將處理上下文路徑，並在必要時重新進行URL重寫以跟蹤會話。