如何避免XSS攻擊

Question

如果用戶輸入javascript：alert（'e'）;在我的應用程序的評論部分，然後在重新加載頁面時顯示警報。如何在java中驗證這些用戶輸入。

Answer 1

修復XSS攻擊的標準行業方法是對白名單中的所有應用程序輸入進行編碼。確保沒有超出預定的輸入範圍。這通常是使用掃描所有輸入的正則表達式來完成的。

此外，爲了保護您的應用程序免受反映的XSS攻擊，還應該考慮服務器端的編碼輸出。

看看ESAPI和antisamy框架提供的API來協助這項工作。

Antisamy Project

ESAPI Security API

Answer 2

你寫用戶輸入返回到新的頁面每次，最簡單的辦法就是逃跑的內容。