解决跨站点脚本问题时面临的问题

Question

我正在防止我的应用程序出现跨站点脚本缺陷。我已经为我的应用程序中存在的所有字段做了验证部分，但我不知道如何防止此缺陷，如果有人在url中注入代码，请帮助我如何摆脱此缺陷。例如:脚本：

javascript:alert(document.cookie)

例如，如果我们将上面的代码注入到url中，我们就可以在注销后获得用户名和会话id。

请给我提个解决方案。

Answer 1

html解码/编码对此无能为力，我在大多数web应用程序(如Atlassian JIRA，Slack)上进行了测试，所有程序都允许这样做，并将其打印在html页面中。此标记仅在以下情况下有效:如果它在href属性中打印-

​

<a href="javascript:alert(document.cookie)">Test</a>

​

在Onclick属性中

<a href=# onclick="javascript:alert(document.cookie)" >test</a>

​

因此，请确保您没有直接在href或onClick属性中打印任何内容，如果您要在那里添加任何可以手动检测javascript的过滤器，或者不要忘记在链接之前附加http://。

Answer 2

有人在地址栏中输入javascript:alert(document.cookie)不是漏洞。

如果攻击者在他们的网站中添加了一个链接到javascript:alert(document.cookie)的href，那么它只会显示攻击者网站上的cookies。

只有用户可以在自己的浏览器中输入代码。这就是所谓的Self-XSS。

如果这不是你的意思，请用一个有效网址的例子更新你的问题(为了隐私，你可以将你的域名改为example.com )，然后添加评论让我知道，我会更新我的答案以获得帮助。