反射的XSS:request。getParameter获取参数
最近对一个应用程序进行的审计发现了一个XSS反射漏洞：
如源代码中所示，参数idPage上的用户控制输入将直接传递到呈现的网页：
<input type="hidden" name="idPage"
value="<%=(request.getParameter("idPage") == null) ? "" : request.getParameter("idPage")%>">
我能做些什么来解决这个问题？
暂时还没有答案
-
问题内容： 是否可以获取通用参数的类型？ 一个例子： 问题答案： 我曾经偶然发现的一种结构看起来像 因此，似乎有些不可思议的想法使我感到遗憾，我很不了解…对不起。
-
问题内容： 考虑以下代码： 我对标有的参数的值感兴趣。假设我已经通过反射（使用）弄清楚了哪个方法参数具有注释。（我知道这是参数列表中的第三个参数。） 现在如何检索值以进一步使用？ 问题答案： 你不能 反射无法访问局部变量，包括方法参数。 如果您需要该功能，则需要拦截方法调用，可以通过以下几种方法之一进行操作： AOP（AspectJ / Spring AOP等） 代理（JDK，CGLib等） 在所
-
问题内容： 说我以某种方式从另一个类获得了对象引用： 现在，我可以获取该对象的类： 现在，我可以获得该类的所有构造函数： 现在，我可以循环每个构造函数： 这已经为我很好地总结了构造函数，例如，构造函数public Test（String paramName）显示为public Test（java.lang.String） 但是，我不想获取类的类型，而是要获取参数的名称。在这种情况下，为“ para
-
问题内容： 我有一个这样声明的枚举： 现在，我想通过反射找出该枚举的键（SystemRunning，SystemStopped，tmpIdle）： 输出为：RUNNING STOPPED IDLE 但是，我想使用Strings SystemRunning，tmpIdle等。 提前非常感谢您。 问题答案： 首先，您需要使您的非静态变量。 然后，您需要在枚举中添加getter方法，该方法将返回 然后将
-
问题内容： 我正在尝试使用Go的反射系统来检索函数的名称，但是在调用其类型的Name方法时会得到一个空字符串。这是预期的行为吗？ 这是我如何解决问题的简单示例： 问题答案： 解决方案是使用FuncForPc返回一个。 返回： 如果需要，只需将其标记化即可。
-
问题内容： 如果我有这样的课程： 有没有办法知道使用名为类型的参数？ 问题答案： 总结一下： 如果编译期间包含调试信息，则可以获取参数名称。查看此答案以获取更多详细信息 否则得到的参数名称是不是有可能 使用可以获取参数类型 为了编写编辑器的自动完成功能（如你在评论之一中所述），有几个选项： 使用，，等。 使用，等。 结合使用以上内容-前者用于非基本类型，而后者用于基本类型。 根本不显示参数名称-仅