慢慢来的博客

Jenkins通过stapler处理请求，所以从web.xml开始，从doDynamic 方法到serveLocalizedFile 方法到request.getLocale() ，Jetty 在获取 Locale 的时候直接从 HTTP Headers 里取出 Accept-Language 头，用 - 分割后返回了一个 Locale 对象。也就是我传入Accept-Language: ../....

1、jsonp劫持 如果b.com通过jsonp的方式获取json数据，攻击者通过构造恶意的jsonp调用页面a.com.html，a.com.html中通过<script></script>标签，远程调用b.com下的json文件，被攻击者在已登录b.com时，访问a.com.html，攻击者即可获取敏感数据。 <script> function woo...