用于XSS预防的ESAPI不起作用

Question

以下是原代码

 //scriplet code
    <% String userId = request.getParameter("sid"); 
    ...%>

在相同的Jsp中

     <input type = hidden name = "userID" value = "<%= userId %>" />

我做了一些修改，在lib中包括esapi-2.1.0.jar，在类路径中包括esapi.properties，validation.properties。然后对scriplet代码进行以下更改以修复上面的代码

      //scriplet code
    <% String userId = ESAPI.encoder().encodeForHTML(request.getParameter("sid")); 
    ...%>

          String              userSID=ESAPI.encoder().encodeForHTMLAttribute(request.getHeader("janus_sid")); session.setAttribute("username",userSID);<input type=hidden name="USERNAME" value="<%= userSID %>"

       String debugFlag =  ESAPI.encoder().encodeForJavaScript(request.getParameter("debug"));var debugFlag = "<%= debugFlag%>";if(debugFlag == "y"){       
        document.title=   title + " (" + host + ")";
        defaultAppTitle = title + " (" + host +  ")";           
    }                                                           

Answer 1

谢谢你们的帮助。最后给出了一个解决方案，以防止XSS问题，并通过强化静态代码分析。我已经将ESAPI与Anitsamy库一起使用。以下是所需的3个主要更改。

>

实现Anitsamy筛选器

添加一个新的过滤器并重写请求方法getParameter、getParameterValues，以去除请求中的任何可疑标记。Filter加载一个策略文件，我们在其中定义规则，如

 String reportName = request.getParameter("reportName");
 ESAPI.validator().getValidInput("Report Name", 
                                  reportName, "ReportNamePattern", 100, false);

在上面的代码中，

1. “报表名称”是上下文
2. ReportName是数据字段
3. ReportNamePattern是在esapi.properties中定义为验证器的regex模式。ReportNamePattern=^[a-zA-Z]{1}[0-9]{6}$
4. 100是数据字段reportname的最大长度
5. false是表示不允许空值的标志。

执行输出编码
正如@avgvstvs所指出的，输出编码也是必须的。

<tr> <th> Report :     <%=ESAPI.encoder().encodeForHTML(reportName)%> </th> </tr>

 var reportName = "<%= ESAPI.encoder().encodeForJavaScript(reportName)%>";

<input type=hidden name="USERNAME" value="<%=ESAPI.encoder().encodeForHTMLAttribute
    (reportName)%>"/>