script intersite en JavaScript

Question

J'essaie de résoudre une exception de script intersite dans mon code. Je reçois une erreur XSS à la ligne où je me trouvais en utilisant l'expression JSP dans un code JS

ex: dans une fonction JS

function ex(){ 
    ..... 
    var loc = '<%= location.getLocDetails()>'; 
    ..... 
} 

S'il vous plaît laissez-moi savoir, si vous avez une solution/solution de contournement?
Note: location.getLocDetails() renvoie une chaîne

Answer 1

Il y a seul moyen de XSS risque si location.getLocDetails() peut retourner entrée contrôlée par l'utilisateur. Si par exemple il renvoie la valeur directement de l'en-tête HTTP Accept-Language sans aucune vérification de syntaxe ou échappement, alors il y a en effet des moyens de risques XSS.

Vous devriez toujours évasion affichage entrée pendant contrôlé par l'utilisateur, au moins toutes les entrées qui peuvent dans une certaine mesure être contrôlé par le client, y compris les en-têtes de requête HTTP et URL de la demande. Il est fondamentalement assez simple, il suffit d'utiliser un outil d'affichage qui échappe aux entités HTML <, >, " et '.

En cas de JSP, moyen le plus simple est d'utiliser JSTL (juste déposer jstl-1.2.jar dans /WEB-INF/lib si pas encore fait) tag <c:out> pour cela. Ainsi, la ligne particulière devrait être remplacé par (en supposant que location est déjà disponible en page demande, session ou champ d'application):

var loc = '<c:out value="${location.locDetails}" />'; 

Cela dit, il est vrai temps de se débarrasser de tous scriptlets dans votre Fichier JSP, il ferait seulement mieux :) Pour en savoir plus sur JSTL, read this.