关于跨站javascript问题

最新推荐文章于 2022-10-27 13:35:40 发布

奸商德

最新推荐文章于 2022-10-27 13:35:40 发布

阅读量149

点赞数

CC 4.0 BY-SA版权

分类专栏： Struts2 文章标签： JavaScript Struts XML ViewUI

本文链接：https://blog.youkuaiyun.com/popbao/article/details/83283852

Struts2 专栏收录该内容

1 篇文章

订阅专栏

本文分享了作者参与公司政府网站项目的XSS漏洞扫描及修复过程。虽然项目已采用客户端JavaScript和服务器端Struts验证，但仍然引入了额外的验证类Checkvalidator来增强安全性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

最近，公司对原有政府网站项目进行了XSS漏洞扫描和修复。自己也参与其中，感触颇深啊。
原来的项目对所有的提交的请求中的参数，做了客户端的javascript验证和服务器端的Struts的Validation验证，但是还是不能应对那些黑客的跨站式攻击。不得不自己新写了一个Checkvalidator类，对所有在**-validation.xml文件中注册验证的字段进行验证。这个已经真实上线使用，希望各位大大提出指正意见。
相关代码如下：


	 public class Checkvalidator extends FieldValidatorSupport {
		private static String expression = "<script>";
		public void validate(Object object) throws ValidationException {
			String fieldName = getFieldName();
			String value = (String) getFieldValue(fieldName, object);
			//System.out.println("[validator!]" + fieldName);
			if (value == null || value.trim().length() == 0) { return; }
			if (value.indexOf(expression)>=0) { addFieldError(fieldName, object); }
		}
	}

validators.xml文件中添加如下
<validator name="check" class="validator.Checkvalidator"/>
**-validation.xml
<field name="欲验证的字段">
<field-validator type="check">
<message>字段含有非法字符！</message>
</field-validator>
</field>