spring - 如何防止人们在 Spring MVC 中进行 XSS？

Question

在 Spring MVC 中我应该怎么做才能防止 XSS？现在我只是将所有输出用户文本的地方都放入 JSTL <c:out>标签或 fn:escapeXml()功能，但这似乎容易出错，因为我可能会错过一个地方。

有没有一种简单的系统方法来防止这种情况发生？也许像过滤器之类的？我通过指定 @RequestParam 来收集输入我的 Controller 方法上的参数。

Answer 1

在 Spring 中，您可以从 <form> 生成的 JSP 页面中转义 html。标签。这关闭了 XSS 攻击的许多途径，并且可以通过三种方式自动完成:

对于web.xml 中的整个应用程序文件:

<context-param>
    <param-name>defaultHtmlEscape</param-name>
    <param-value>true</param-value>
</context-param>

对于文件本身中给定页面上的所有表单:

<spring:htmlEscape defaultHtmlEscape="true" /> 

对于每种形式:

<form:input path="someFormField" htmlEscape="true" />