为什么 checkmarx 将此标记为 XSS 漏洞？

Question

我在 HTML 文件中有以下代码 -

<div class="dropdown" data-type="all">

Checkmarx 已将此声明识别为潜在的 XSS 漏洞。这是 HTML 文件中的第一行（它是一个模板/部分，将被插入到其他东西中）。

我的问题是 - 为什么它被标记为潜在的 XSS 漏洞？我确实阅读了有关它的 OWASP 页面，并了解我需要转义分配给属性的值，但正如您所见，属性的值很好。

Answer 1

如果这是文件中的第一行，则可能是 Checkmarx 没有在代码中标记正确的位置。查看结果的源行号和目标行号（显示在底部的表格中），它们应该指向接收输入的位置，以及打印受输入影响的值的位置。

PS，如果你使用IE查看扫描结果，请尝试切换到Chrome或Firefox，也许这些浏览器上的结果会更好。