grails - 如何防止 Grails 应用程序中的 XSS 攻击

Question

在我的 grails 应用程序中，我从 params 中提取文本并将其用作我的域查询中的参数:

例子:

def color = Colors.findByName(params.colorname)

我想有人可能会摆弄 params.colorname 参数来对我的 mysql 数据库运行错误的查询。

有哪些好的做法可以防止出现此类情况？

Answer 1

当您在 View 中呈现可能包含 XSS 攻击的字段时，您需要将其编码为 HTML。您应该对包含用户输入的所有字段进行编码。所有标准的 Grails 标记都编码为 HTML。但是，如果您在 View 中使用 ${}，那么您可能会遇到麻烦。您需要像 ${colorname.encodeAsHTML()} 那样手动编码，或者如果它是 bean 属性，则使用像 fieldValue 这样的标签。

您还可以在 Config.groovy 中使用 grails.views.default.codec = "html" 设置全局默认编解码器。

注意双重编码并确保在自定义标签中编码为 HTML。

您还提到了与 XSS 攻击不同的 SQL 注入(inject)攻击。只有在您编写自己的 SQL 或 HQL 并将用户输入直接插入到 SQL/HQL 中时，您才会面临 SQL 注入(inject)的风险。这意味着 Colors.executeQuery("from Colors where name like?, params.colorname) 而不是 Colors.executeQuery("from Colors where name like $params.colorname").