javascript在wicket中的注入

Question

我有使用wicket框架的J2EE項目。 我想知道如何在wicket中防止JavaScript注入？

Answer 1

儘管我不認爲你提出問題的方式應該得到它（沒有細節，沒有背景，沒有示例問題陳述，暗示對注入的敏感性等），但我從優秀Wicket in Action挖掘了一些細節：

檢票默認情況下

你永遠不必擔心 疙瘩面對14歲的孩子試圖破解 你的web應用的安全。爲此， 他們將不得不劫持會話 ，然後猜測標識符和版本號的正確頁面 ，其中 將相對於會話和 相關的組件路徑。你會 必須是一個持久的黑客拉 關閉。您可以通過使用 （例如 CryptedUrlWebRequestCodingStrategy）加密請求，使您的Wicket 應用程序的默認設置從 默認更安全。

Answer 2

默認情況下，所有Wicket組件都會轉義字符串（通過Labels，TextFields等），從而避免了與JavaScript注入相關的大多數常見問題。

但是，如果您出於某種原因禁用此行爲（component.setEscapeModelStrings(false)），或者創建自定義渲染的組件（如果將標記直接寫入輸出），則應該適當小心。