java - 是否需要转义 Accept 标头？

Question

我有一个 Jersey 应用程序，它通过我们公司的网站漏洞工具运行。它带来了一个非常奇怪的漏洞。如果您发送此标头：

"*/*'"!@$^*\/:;.,?{}[]`~-_<sCrIpT>alert(81363)</sCrIpT>"

您实际上在响应中将其取回并且它没有被转义。有人认为这是个问题吗？

以下是实际响应：

User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; SV1; .NET CLR 1.1.4322)
Accept: */*'"!@$^*\/:;.,?{}[]`~-_<sCrIpT>alert(81363)</sCrIpT>
Pragma: no-cache
...

还有一件事情。我刚刚升级到球衣 1.14，它仍然这样做......

Answer 1

你的意思是在产生的错误信息中？就像是：

< HTTP/1.1 400 Bad Request
< Content-Type: text/plain
< Date: Thu, 27 Sep 2012 14:30:30 GMT
< Connection: close
< Transfer-Encoding: chunked
< 
* Closing connection #0
The HTTP header field "Accept" with value "..." could not be parsed

?

如果是这样，我们绝对可以做点什么，请在http://java.net/jira/browse/JERSEY将其报告为新的 RFE 。（我无法重现与此问题相关的任何其他内容）。

谢谢！