jsp lang参数在struts 1.1中自动存入cookie

Question

我的应用程序在 tomcat 7.0.47 上运行 struts 1.1。每当我请求这样的 jsp 时:

http://localhost:8080/myTestPage.jsp?lang=fr

值 lang=fr 自动存储在 cookies 中。即使jsp与配置中的 Action 无关，只包含“eclipse jsp的模板代码”。

这是一个安全问题，因为无法控制此参数(您可以注入(inject) JS)。

如何或为何存储此参数？此行为仅适用于 lang 参数。

Answer 1

在我看来，您的 cookie 拦截器在(您的/您的其中之一)配置文件中处于事件状态，如下所示:

<action ... >
   <interceptor-ref name="cookie">
      <param name="cookiesName">cookie1</param>
      <param name="cookiesValue">cookie1value</param>
   </interceptor-ref>
   <interceptor-ref name="cookie">
      <param name="cookiesName"<cookie2</param>
     <param name="cookiesValue">cookie2value</param>
   </interceptor-ref>
   ....
 </action>

取自此链接:https://struts.apache.org/core-developers/cookie-interceptor.html