playframework - 通过 flash 成功/错误消息播放框架 xss

Question

在播放框架中，Flash cookie 未签名，用户可以对其进行修改。当我使用它将错误消息从一个请求传递到另一个请求并在我的模板中像这样打印时

&{flash.error}

错误消息可能包含邪恶的 html 注入代码。这正是框架教程告诉我的做法，所以这真的是一个安全漏洞还是我只是偏执狂？

Answer 1

这取决于您从哪里获得闪存值。如果您是从您设置的脚本中的字符串生成它，那很好，但是当您使用该机制回发用户输入时，您会遇到安全问题。