java - XSS漏洞修复方法

Question

我们正在使用 fortify 扫描 java 源代码，它提示以下错误:

Method abc() sends unvalidated data to a web browser on line 200, which can result in the browser executing malicious code.

下面是第 200 行的代码:

<a href="<%= Util.getProduct(request) %>">Product</a>

在 getProduct 方法中，Util.java hsa 下面的代码:

String prod = request.getParameter("prod");

谁能告诉我如何修复这个 XSS 漏洞？

谢谢!

Answer 1

您需要转义 Util.getProduct(request) 的输出.通常这是使用 JSTL 和 <c:out> 完成的。标记和 EL:

<a href="<c:out value="${Util.getProduct(request)}"/>" class="left_nav_link">Product</a>

注意您必须使用相当最新的 EL 实现(根据 JSTL or JSP 2.0 EL for getter with argument 和 Parameters in EL methods )才能将参数传递给 getter 方法。

---

由于您问题中的代码包含小脚本，我将强烈建议您阅读How to avoid Java code in JSP files?这个问题涵盖了使用 JSTL+EL 而不是 scriptlet 的原因，以及关于这两个首字母缩略词实际指代什么的一些信息。