Javascript 选项卡导致 HP fortify 扫描中出现严重错误 (XSS)

Question

我有一个我一直在使用的 javascript 选项卡库，一直都很好，但是随着我们最近升级 Fortify，我们在代码的 window.location 部分遇到了一个严重错误(编辑，应该提到这一点)这是修改之前的原始代码):

var b=window.location.href;

我们的第一个修改是:

var b = (escape(window.location.href.toString()));

失败后，我们发现并尝试了以下方法:

var b = (encodeID(window.location.href.toString()));

function encodeID(s) {
    if (s==='') return '_';
    return s.replace(/[^a-zA-Z0-9.-]/g, function(match) {
    return '_'+match[0].charCodeAt(0).toString(16)+'_';
    });
}

但再次运行 Fortify 仍然会引发严重错误。还尝试过:

var b=encodeURIComponent(window.location.href);

仍然很关键。
有人对让它通过有什么想法吗？

Answer 1

@Carlos Mendieta 我同意你的观点。我认为 Fortify 在这里错误地报告了一个问题。您没有为 window.location.href 分配值，而只是在变量中设置值。有一个关于安全堆栈交换的讨论security stack exchange: JS code giving xss vulnerability这本质上是相同的。我想看看您是否可以将 Fortify 调整为不报告此项目。