jsp - 如何绕过包含单引号的 url 的 siteminder？

Question

在我的应用程序代码中，我使用这种 url 将用户从一个页面重定向到另一个页面:http://myhost:8001/myapp/list.jsp?name=abc'd&age=10这里的名称是用户可以在第一页编辑的动态字段，其中可以包含单引号。

现在的问题是当我使用 siteminder 进行身份验证时，每个 url 都会通过它。并且 siteminder 将此单引号视为此类攻击的尝试并阻止此 url 并将用户带到某个访问被阻止的页面。

我该如何解决这个问题？

Answer 1

我认为 URI 编码不起作用——Siteminder 足够聪明，可以解决这个问题。一些其他类型的编码，如 base64，或者只是用其他东西替换撇号，然后在服务器端将其替换回。或者，您可以在 Siteminder 代理配置中禁用 BadCSSChar 检查撇号。请注意，您的网站可能会受到 XSS 攻击，您的应用程序必须负责在网页上显示用户提供的任何字符串之前检查它们。