[bug处理]struts1注入html代码的修复-优快云博客

本文详细阐述了在JSP页面中处理request.getAttribute(value)注入的方法，包括使用Struts2的property、HTML code标签、EL表达式等手段，最终通过c:out成功解决了原值显示问题。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

今天跟同事解决这样一个问题：

jsp页面中处理request.getAttribute("value")的注入！

jsp页面如下：

<html>
    <head>
        <title>xxx</title>
    </head>
    <body>
        <div class="blue">
            <p>
                <%=request.getAttribute("value")%>
            </p>
        </div>
    </body>
</html>

有用户恶意的将value值设置为:<img src="#" οnerrοr="alert hello" />

用户在提交表单之后，会突然弹出js框，造成错误！

这时需要解决的问题就是将用户显示的值原值显示出来！

这是可以采取的方式有如下：

1. struts2中的property来设置

<s:property value="test" escape="false"/>

escape：false为不显示

true显示

由于是使用的struts1，所以这里不能使用

2. html <code>标签

这里经过测试，无法展现 http://www.w3school.com.cn/tags/tag_code.asp

3. el表达式

最后使用的是c:out来做处理实现

导入el表达式库

<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/functions"%>

<html>
    <head>
        <title>xxx</title>
    </head>
    <body>
        <div class="blue">
            <p>
                <c:out value=" <%=request.getAttribute("value")%>" />
            </p>
        </div>
    </body>
</html>

至此，这里就解决了原值的显示

哎，老项目中的bug实在是太多啊......