개찰구에서 자바 스크립트 주입

Question

개찰 프레임 워크를 사용하는 J2EE 프로젝트가 있습니다. 개찰구에서 JavaScript 주입을 어떻게 예방할 수 있는지 알고 싶습니다.

Answer 1

나는 당신이 당신의 질문을 공식화하는 방식이 그 가치가 있다고 생각하지는 않았지만 (세부 사항 없음, 배경 없음, 예제 문제 진술, 주입에 대한 감수성 등), 나는 우수한 세부 사항을 파헤 쳤습니다. 개찰구:

개찰구는 기본적으로 안전합니다

웹 애플리케이션을 해킹하려는 14 살짜리 소년에 대해 걱정할 필요가 없습니다. 그렇게하려면 세션을 납치 한 다음 세션 및 관련 구성 요소 경로와 관련된 오른쪽 페이지 식별자 및 버전 번호를 추측해야합니다. 당신은 그것을 끌어 내려면 지속적인 해커 여야합니다. 예를 들어 CryptedUrlWebRequestCodingStrategy와 같이 요청을 암호화하여 개찰구 응용 프로그램을 기본값으로부터 더욱 안전하게 만들 수 있습니다.

Answer 2

모든 개찰구 구성 요소는 기본적으로 줄을 탈출하여 (레이블, 텍스트 필드 등) JavaScript 주입과 관련된 가장 일반적인 문제를 피합니다.

그러나이 동작을 비활성화하면 적절한주의를 기울여야합니다 (component.setEscapeModelStrings(false)) 어떤 이유로 든 또는 사용자 정의 렌더링 된 구성 요소를 작성하십시오 (마크 업을 출력에 직접 쓰는 경우).