javascript - 我应该使用 JSON 编码、JavaScript 编码还是两者都使用？

Question

我开始从事网站的安全工作，我的任务是防止 XSS 攻击。我看过 OWASP 规则来处理它。但是，我不确定在我的具体情况下应该使用这些规则中的哪一个。我有以下 .jsp 文件:

<%
    // Get Requests
    InputData data = new InputData(request);
    int idBcomp = data.getInt("bcomp");

    Bcomp bcomp = new Bcomp();
    BcompDao bcompDao = new BcompDaoImpl();

    bcomp.setId(idBcomp);

    JSONObject json = new JSONObject();

    try {

        for (Bcomp s : bcompDao.find(bcomp)) {
            json.accumulate("id", s.getId());
            json.accumulate("nome", s.getNome());
            json.accumulate("nox", s.getNox());
        }

    } catch (SQLException e) {
        json.accumulate("erro", e.getMessage());
    } catch (Exception e) {
        json.accumulate("erro", e.getMessage());
    }

    out.write(json.toString());
%>

我还有一个 .js 文件，它接收和操作由上面的文件创建的 JSON。在这个文件中，我有以下代码:

function import(idBcomp) {
    $.ajax({
        url: 'ajax/bcomp.jsp',
        data: {bcomp: idBcomp}
    }).done(function (r) {
        var obj = $.parseJSON(r);

        $("#nome").val(obj.nome);
        $("#nox").val(obj.nox);
        $("#id_bcomp").val(obj.id);

    });
}

因此，我的问题是:我应该使用 javascript 编码、JSON 编码还是两者都使用？我应该在哪里进行编码？我正在使用 OWASP XSS API用于 encodeForJavaScript 和 JSON 编码

Answer 1

JSON 编码。 JSON 向浏览器指示内容仅为数据，不应执行。 JavaScript 编码表示潜在的可执行包。