Вкладки Javascript вызывают критическую ошибку (XSS) в HP fortify scan

Question

У меня есть библиотека вкладок javascript, которую я использовал, это всегда было хорошо, но с нашим недавним обновлением Fortify мы получаем критически важную ошибку в окне .Location часть кода (редактирования, должен отметить, что это исходный код, перед тем, как изменяется):

var b=window.location.href; 

Наша первая модификация была:

var b = (escape(window.location.href.toString())); 

Когда это не удалось, мы нашли и попробовал следующее:

var b = (encodeID(window.location.href.toString())); 

function encodeID(s) { 
    if (s==='') return '_'; 
    return s.replace(/[^a-zA-Z0-9.-]/g, function(match) { 
    return '_'+match[0].charCodeAt(0).toString(16)+'_'; 
    }); 
} 

, но другой запуск Fortify все еще вызывает критические ошибки. Также пытался:

var b=encodeURIComponent(window.location.href); 

Критический.
У кого-нибудь есть мысли по поводу его прохождения?

Answer 1

@Carlos Mendieta Я согласен с вами. Я думаю, что Fortify неправильно сообщает о проблеме здесь. Вы не назначаете значение window.location.href, вы просто устанавливаете значение в переменной. Существует дискуссия об обмене стека безопасности security stack exchange: JS code giving xss vulnerability, который по существу утверждает то же самое. Я бы посмотрел, можете ли вы настроить Fortify, чтобы не сообщать об этом элементе.