加强跨站点脚本:验证效果不佳

Question

我已经使用JSTL标签修复了Fortify在我的JSP上报告的XSS漏洞问题，但在使用之后，虽然XSS漏洞问题得到了解决，但它导致了一个新的问题，即“XSS:糟糕的验证”。为了解决这个糟糕的验证问题，我还可以实现哪些其他可能的解决方案？

Fortify建议HTML/ XML/ URL编码不是一个好的做法，因为代码将在运行时被解码，这仍然可能导致XSS攻击。

我使用的是spring注入的struts框架。我有字段，用户可以提供输入以及从数据库中读取的字段。我一直在寻找可能的解决方案，但还没有找到一个。

谢谢，蒂娜

Answer 1

根据输出数据的位置使用适当的编码。具体信息可以在OWASP XSS Prevention Cheat Sheet中找到--以及关于OWASP的AntiSamy和Java HTML Sanitizer的信息。

此外，还可以在适当的情况下使用white listing。

Answer 2

使用OWASP编码器Jar。Fortify解决了我的跨站点脚本问题。

从以下URL下载jar。第二个选项卡中有示例。https://www.owasp.org/index.php/OWASP_Java_Encoder_Project

代码片段：

<body><%= Encode.forHtml(UNTRUSTED) %></body>

http://owasp.github.io/owasp-java-encoder/encoder/apidocs/index.html?index-all.html