Ошибка XSS: как предотвратить это?

Question

У меня есть ситуация: У меня есть страница, которая использует <c:out> для отображения данных из базы данных, в которой содержание имеет некоторые специальные символы в качестве зарегистрированного товарного знака. Я использую java, jsp, jstl в своем коде. зарегистрированный символ торговой марки отображается как:

®

импортирует точно идеально, как:

<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %> 
<%@ page contentType="text/html; charset=UTF-8" pageEncoding="UTF-8" %> 

Если я печатаю, используя приведенный ниже код, он отображает правильный знак регистрации, но вещь заключается в том, что это приводит к нарушению безопасности.

<c:out escapeXml="false" value="${prName}"/> 

Я использую Veracode сканировать мой код, так как я дал здесь: escapeXml="false", Veracode указывает на то, что это уязвимость.

Так что, когда я удалить escapeXml, он показывает, как это так:

<span class="sup">&reg;</span> 

Просьба предложить мне выход из этой проблемы? Любая помощь глубоко ценится.

Answer 1

Поскольку вы разрешаете использовать теги на своей странице, это рассматривается как уязвимость.

Вместо того чтобы писать

<span class="sup">&reg;</span> 

вы могли бы написать

<script>alert("Alert");</script> 

, который будет стойким XSS.

Постарайтесь реорганизовать свой код, чтобы не включать любые теги в ваше значение из базы данных. Кроме того, убедитесь, что значение из базы данных дезинфицировано.