如何在弹性搜索的搜索查询中避免脚本注入？

Question

我有一个应用程序使用Angularjs和数据库作为弹性搜索。对于弹性搜索版本1.3.1，默认情况下启用动态脚本。用户可以将数据添加到应用程序的弹性搜索中。所以在搜索时如何避免弹性搜索查询中脚本注入的注入？

Answer 1

1. 取决于如何构建json，如果它是类似于"{query: {match:"%s"}}"那么它可以传递一个字符串以向脚本添加更多文本。
2. 检查，如果elasticsearch对所有人发布 - 你应该关闭它
3. 你应该使用沙盒脚本和限制库来使用groovy。