jsp - request.getParameter 防止 XSS : what is the best practice?

Question

我继承了一个包含 1000 多个 JSP 文件的大型代码库，其中充满了 XSS 漏洞。

代码满满的

<%= request.getParameter("theparam")%>

和

out.println("some stuff before"+request.getParameter("theparam")+"and some other stuff");

和

String myVar = request.getParameter("theparam");
out.println(myVar);

我想保护所有文件，而不必单独检查所有文件。

我最好的方法是什么？

• 将所有源文件上的“request.getParameter("xx")”“全部替换”为“StringEscapeUtils.escapeHtml(request.getParameter("xx"))？

• 我能否以某种方式覆盖函数“request.getParameter”，使其默认为 stringescapeutils.escapehtml(request.getParameter("")); ?

谢谢

Answer 1

我并不是说这是最好的方法，但是:

Can i somehow override the function 'request.getParameter' so it defaults to stringescapeutils.escapehtml(request.getParameter("")); ?

使用 servlet 过滤器和包装 HTTP servlet 请求很容易实现。 How to add validation logic to HttpServletRequest 中描述了这种方法.

不过最全面的做法是在显示的时候进行转义，最好只在JSP中。太糟糕了，您还在 servlet 中生成 HTML。请参阅:Java 5 HTML escaping To Prevent XSS .