Spring defaultHtmlEscape不会阻止xss攻击

Question

我想在我的spring应用程序中防止xss攻击。

我补充说

 <context-param>
        <param-name>defaultHtmlEscape</param-name>
        <param-value>true</param-value>
  </context-param>

进入我的web.xml（我在这里发现这个灵魂）

但在我的页面上，我使用名称保存内容<script>alert(1);</script>，此脚本在页面刷新后执行。

客户端代码：

$.ajax({
       type: 'POST',
       url: 'setContentName',
       dataType: 'json',
       data: {contentId: id, name: params.value}
});

我怎么了？

PS

我刷新后使用javascript加载内容

该属性只会影响弹簧表单标签的使用，不会成为通用解决方案。 — M. Deinum, Aug 17 '15 at 14:11
我认为默认情况下是这样的。看看这个答案可以帮助你看到什么问题：stackoverflow.com/questions/2147958/... — cahen, Aug 17 '15 at 14:14

尼尔·麦圭根 · Answer 1 · 2015-08-18 02：44：00Z

我是一个有争议的意见，但我认为你应该验证和拒绝入站XSS。你也应该输出它，但它不应该在你的数据库中，因为dbs是持久的，通常是交叉应用程序。

请参阅https://www.owasp.org/index.php/OWASP_JSON_Sanitizer

使用Hibernate验证器（您不需要使用Hibernate ORM）与JSoup避免您的数据库中的XSS：

Foo.java：

@Entity
class Foo {

  @SafeHtml(whitelistType = SafeHtml.WhiteListType.NONE)
  private String name;

  ...
}

FooController.java：

@Controller
public class FooController {

  @RequestMapping(method=POST)
  String submit(@Validated Foo foo) {
     ...
  }

}

pom.xml：

    <dependency>
        <groupId>org.hibernate</groupId>
        <artifactId>hibernate-validator</artifactId>
        <version>5.1.2.Final</version>
    </dependency>

    <dependency>
        <groupId>org.jsoup</groupId>
        <artifactId>jsoup</artifactId>
        <version>1.8.1</version>
    </dependency>

有关更多的抗XSS措施，请参阅向网站添加附加安全性

Spring defaultHtmlEscape不会阻止xss攻击

PS

2答案