java - 如何在我的 JAVA tomcat Web 应用程序中阻止 El-Tags

Question

我在我的 Java Tomcat 应用程序中遇到了 EL(表达式语言)注入(inject)问题。我尝试使用以下方法在 web.xml 文件中解决它:

<jsp-config>
    <jsp-property-group>
        <url-pattern>*.jsp</url-pattern>
        <el-ignored>true</el-ignored>
         <scripting-invalid>true</scripting-invalid>
    </jsp-property-group>
</jsp-config>

以及以下文章中的建议: https://www.aspectsecurity.com/uploads/downloads/2012/12/Remote-Code-with-Expression-Language-Injection.pdf

<context-param> 
 <description>Spring Expression Language Support</description> 
 <param-name>springJspExpressionSupport</param-name> 
 <param-value>false</param-value> 
</context-param>

但是它们似乎都不起作用。我已经使用以下 .jsp 文件对其进行了测试:

request param is: ${param.name} 

然后输入网址:

http://<myURL>/<myPath>/test.jsp?name=blablabla

屏幕上的输出是

request param is: blablabla

虽然我期待它是:

request param is: ${param.name}

在我的改变之后。有什么建议吗？

Answer 1

问题解决了。以防将来有人遇到它:解决方法是在web.xml中添加:

<jsp-config>
    <!-- Set to true to disable JSP scripting syntax -->
    <jsp-property-group>
        <url-pattern>*.jsp</url-pattern>
        <scripting-invalid>true</scripting-invalid>
    </jsp-property-group>
    <!-- Set to true to disable Expression Language (EL) syntax -->
    <jsp-property-group>
        <url-pattern>*.jsp</url-pattern>
        <el-ignored>true</el-ignored>
    </jsp-property-group>
</jsp-config>