如何防止jsp中的整数值被XSS攻击？

Question

我有一个场景，我必须加密或保护整数。

例如

//scriplet code
    <% int userId = request.getParameter("sid"); 
    ...%>

<input type = hidden name = "userID" value = "<%= userId %>" />

任何想法，我怎么能加密整数或我可以提出假阳性在上述代码。

请帮助我，因为我已经卡得很严重。

Answer 1

如果这只是关于XSS的，那么你应该用其中的一个来逃避（但最好是两个）。

1. 输入验证
2. 输出编码

更详细的解释请看示例。https:/cheatsheeteries.owasp.orgcheatsheetCross_Site_Scripting_Prevention_Cheat_Sheet.html。

OUTPUT ENCODING。

JSP标准标签库有一些有用的功能，请看本回答。JSPServlet网络应用中的XSS预防措施

对于普通的Servlet代码，你可以使用这个开源库进行输出编码。

https:/owasp.orgowasp-java-encoderencoderapidocsorgowaspencoderEncode.html。

输入验证。

对于输入验证，你应该检查：

1. 它真的是一个整数吗？https:/docs.oracle.comjavase7docsapijavalangInteger.html#parseInt(java.lang.String,%20int)
2. 是否在预期范围内？(在最小值和最大值之间？)