security - 如何确保为具有编码文本的请求返回编码文本？

Question

在 Grails 架构中，我们有一些请求可以发送到 %0d。和 %0a在请求参数中。这是换行和回车的 Ascii 编码文本。
在这个请求中，发送过来的参数也被返回。这意味着我们应该发回 %0a %0d但我们不是。您实际上可以在响应中看到换行符和回车符。

我被告知这是一个安全风险，因为我们会解释文本。它是否正确？

是否有一个 grails 解决方案，您可以确保没有任何 Controller 将 Json 返回到 Ajax 请求或模型返回到 GSP 解码编码文本。

谢谢

Answer 1

看security section grails 文档——尤其是 XSS Prevention部分。

如果您没有对请求参数进行编码 - 您的应用程序的用户可能会注入(inject)自己的代码来攻击您的应用程序。

我没有关于您的应用程序的详细信息，但您应该将参数编码为 html。
您可以在 Config.groovy 中将其设置为默认值:

grails.views.default.codec = "html"

如果设置此默认值，则必须注意双重编码。
如果 tagLib或者插件也将参数显式编码为 html。