在XSS方面，HTML而不是URI编码？

Question

据我所知，浏览器将在这两种情况下正确地呈现链接。

Answer 1

我假设这是规则5：

将不受信任的数据插入HTML URL参数值之前的URL转义

_{（不是规则#35.)}

 <a href="http://www.example.com?test=...ESCAPE UNTRUSTED DATA BEFORE PUTTING HERE...">link</a >    

?firstname=john&salary=40000&lastname=smith&salary=20000

假设后端应用程序在重复的情况下接受第一个参数值。用户成功地将他们的工资翻了一番。这种攻击称为HTTP参数污染。

因此，如果您将参数插入到URL中，然后再插入到HTML文档中，从技术上讲，您需要对参数进行URL编码，然后对整个URL进行HTML编码。但是，如果您严格遵循OWASP的建议：

除字母数字字符外，使用%HH转义格式转义ASCII值小于256的所有字符。