Comment désinfecter un objet Java avec un encodeur OWASP?

Question

Pour échapper à l'attaque de Cross-Site-Scripting, je dois désinfecter/valider l'objet java provenant de RequestBody. Puis-je utiliser Encoder (à partir de OWASP) pour coder l'ensemble de l'objet java. Il semble que l'encodeur ne codera que les chaînes et ne peut pas accepter les objets. J'ai le même problème de nombreux endroits où je devrais gérer ce problème.

Existe-t-il un moyen de nettoyer l'objet entier pour éviter les problèmes de script entre sites?

Answer 1

Comme vous l'avez remarqué, la désinfection des entrées pour empêcher XSS (Cross Site Scripting) n'est pertinente que pour les chaînes. Encoder d'autres types est soit impossible, soit dénué de sens. Pour mieux le comprendre, vous devez réellement comprendre le mécanisme et le vecteur d'attaque d'un XSS. Je suggère de commencer ici: OWASP XSS

Pour résoudre votre problème, il serait logique de créer une méthode personnalisée qui après avoir obtenu l'objet de la demande, l'assainit en passant par toutes ses chaînes (ne pas oublier les chaînes dans les listes et d'autres structures de données) et les encoder en utilisant le codeur OWASP.

Bonne chance!