java - 防止 JSF 中的 XSS 反射

Question

我正在支持使用 JSF(和 JSP)的遗留应用程序。我正在尽最大努力通过在必要时向代码添加 validator 和转义符来防止 XSS。我是 JSF 新手。

代码示例(xhtml 格式):

<h:form id="someForm">
<f:param name="someProperty" value="#{someBean.someProperty}"/>
</h:form>

我的问题我们的安全扫描器说这容易受到 XSS 反射的攻击。我想为属性值添加转义符。

我的研究:我读过 JSF 通常会自动转义 .它有一个参数，您必须将其设置为 fales 才能禁用它。不过好像没有这个功能。我找到了一个可能有效的建议代码片段:

<f:param name="someProperty" value="#{fn:escapeXml(someBean.someProperty)}"/>

但是，当我使用 fn:escapeXml 时，页面加载失败。这通常是如何解决的？

请注意，这是一个重要的遗留应用程序。需要采取最少的规避行动。

上述文章: JSF 2.0; escape="false" alternative to prevent XSS?

Answer 1

这很尴尬。原来我的 xhtml 文件缺少所需的导入:xmlns:fn="http://java.sun.com/jsp/jSTL/functions"

我添加了它，它现在似乎可以工作了!