security - 如何在 struts 1.3 中清理和验证用户输入登录以通过 Checkmarx 扫描

Question

我在基于 的 Web 项目上启动了 checkmarx Struts 1.3，它返回了这个错误：

在第 xxx 行执行的方法...\action\AbstractAction.java获取表单元素的用户输入。然后，此元素的值在未经过适当清理或验证的情况下流经代码，并最终在第 1 行的方法 %> 中显示给用户../xx.jsp。这可能会启用跨站点脚本攻击。

如何正确清理或验证以满足 Checkmarx 的要求？

Answer 1

只需在将值打印到 JSP 页面之前对其进行编码。有许多不同的编码用于不同的场景。谷歌“OWASP xss 预防备忘单”。Checkmarx 熟悉 ESAPI 编码器。