XSS安全问题

Question

在J2EE struts 2.0.9应用程序中使用Cross Site Scripting - XSS时。当我将<Script>标记放入URL中时，它正在执行JavaScript，这是一种安全威胁。除了动画到更高版本的Struts以外，是否有任何解决方案可以解决此问题。

Answer 1

创建常量字符串数组，并在u请求/调用URL时检查此数组的正确变量名称。

实施例：

 http://localhost:8080/updaterecord.do?**name**="david" 

     http://localhost:8080/updaterecord.do?**ssn**="10-787-78787-77" 

的名称和SSN推到字符串数组，并验证对这个数组URL参数。

Answer 2

只是在前端逃避用户控制的输入。

在JSP/JSTL应该使用c:out

<c:out value="${input}" /> 

用于用户控制的输入而不是纯EL的

${input} 

Struts的等效的c:out是html:text

<html:text value="${input}" /> 

在Java源代码你不需要担心对这个。它不解释String s中的JS（除非你使用犀牛左右）;）。