[bug处置]struts1注入html代码的修复
日期：2014-05-17 浏览次数：20709 次
[bug处理]struts1注入html代码的修复
? ? 今天跟同事解决这样一个问题：
? ? jsp页面中处理request.getAttribute("value")的注入！
?
? ? jsp页面如下：
?
<html>
<head>
<title>xxx</title>
</head>
<body>
<div class="blue">
<p>
<%=request.getAttribute("value")%>
</p>
</div>
</body>
</html>
?
?
有用户恶意的将value值设置为:<img src="#" onerror="alert hello" />
?
用户在提交表单之后，会突然弹出js框，造成错误！
?
这时需要解决的问题就是将用户显示的值原值显示出来！
?
这是可以采取的方式有如下：
1. struts2中的property来设置
?
?
<s:property value="test" escape="false"/>
escape：false为不显示
? ? ? ? ? ? ? ? ?true显示
由于是使用的struts1，所以这里不能使用
2. html <code>标签
? ? 这里经过测试，无法展现?http://www.w3school.com.cn/tags/tag_code.asp
3. el表达式
? ? 最后使用的是c:out来做处理实现
?
导入el表达式库
?
?
<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/functions"%>
<html>
<head>
<title>xxx</title>
</head>
<body>
<div class="blue">
<p>
<c:out value=" <%=request.getAttribute("value")%>" />
</p>
</div>
</body>
</html>
?至此，这里就解决了原值的显示
哎，老项目中的bug实在是太多啊......
?
?
?
免责声明： 本文仅代表作者个人观点，与爱易网无关。其原创性以及文中陈述文字和内容未经本站证实，对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺，请读者仅作参考，并请自行核实相关内容。
