0

测试我的移动应用程序时出现以下错误。我该如何解决这个 XSS 错误？

q 请求参数的值作为标签之间的纯文本复制到 HTML 文档中。有效载荷2906f<script>alert(1)</script>b08ffac3085在 q 参数中提交。此输入在应用程序的响应中未经修改地回显。

这种概念验证攻击表明可以将任意 JavaScript 注入应用程序的响应中。

4

1 回答 1

0

在将其放入 HTML 文档之前，您将其编码为 HTML。

使用 JavaScript（因为这是您提到的唯一语言），这通常意味着使用createTextNode而不是innerHTML.

于 2012-07-19T10:41:59.843 回答