java - 是否需要转义 Accept header ？

Question

我有一个 Jersey 应用程序，已通过我们公司的网站漏洞工具运行。它带着一个非常奇怪的漏洞回来了。如果您发送此 header :

"*/*'"!@$^*\/:;.,?{}[]`~-_<sCrIpT>alert(81363)</sCrIpT>"

你实际上在响应中得到了它，并且它没有被转义。有人认为这是一个问题吗？

以下是实际响应:

User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; SV1; .NET CLR 1.1.4322)
Accept: */*'"!@$^*\/:;.,?{}[]`~-_<sCrIpT>alert(81363)</sCrIpT>
Pragma: no-cache
...

还有一件事。我刚刚升级到 jersey 1.14，但它仍然如此...

Answer 1

你的意思是在产生的错误消息中？像这样的东西:

< HTTP/1.1 400 Bad Request
< Content-Type: text/plain
< Date: Thu, 27 Sep 2012 14:30:30 GMT
< Connection: close
< Transfer-Encoding: chunked
< 
* Closing connection #0
The HTTP header field "Accept" with value "..." could not be parsed

？

如果是这样，我们绝对可以采取一些措施，请将其报告为新的 RFE http://java.net/jira/browse/JERSEY 。 (我无法重现与此问题相关的任何其他内容)。

谢谢!