javascript - jsp中的xss使用href，如何解决？

Question

我的 jsp 中的Veracode 扫描检测问题（CWE ID 80 ）：

 <a href="javascript:constructURL('${id}','${type}');">

在哪里

function constructURL(id, type) {
            var queryString = new ConstructQString('controller.do');
            queryString.add('id', id);
            queryString.add('sampleType', type);
            windowOpener.createWindow(queryString.getUrl(), 'url', false, position);
        }

这里有什么问题？我需要转义 URL？我看不到攻击者如何更改 URL，如果它更改 ID，例如响应将是 403。什么 Veracode 在这里说什么以及如何防止未来的 XSS 攻击？

注意： ConstructQString 对传递的参数进行编码。