网页（XSS）中脚本相关HTML标记的不当中和

Question

任何人都可以帮助我了解出了什么问题。

 @ResponseBody
 @RequestMapping(value = "/compare", method = RequestMethod.POST, 
                                     produces = { "application/json" })
    public List<A> compareDocument(HttpServletRequest request,
            @RequestBody B b) {

        C c = new C();
        c.setSourceContactCode(b.getTargetContactID());
        c.setSourceProfileID(b.getTargetProfileID());
        B b= this.Service.getAllPortfolio(c);
        List<A> targetDocument = b.getDocuments();
        return this.Service.compareDocument(b, targetDocument);
            }

veracode向我显示以下错误:

         c.setSourceProfileID(b.getTargetProfileID());

B和C是值对象（Vo），其实例是JSON属性。所有getter和setter方法都返回/使用String。

Answer 1

（B） b 对象来自请求（用户输入），因此 Veracode 将其视为不受信任的数据。有人可以在那里放置可以执行的脚本代码。例如：

<script>alert('Collect data and send to my server or other actions');</script>