如何在 jsp 中修复 cwe-80 xss？答案

【问题标题】：How do I fix cwe-80 xss in jsp?如何在 jsp 中修复 cwe-80 xss？
【发布时间】：2019-10-02 18:48:27
【问题描述】：

<% 
String ans = ""; 
ans = SpecialCharacter.getEscapeString((String)request.getAttribute("ans"));
%>

<input type="text" class="txt long" name="ans" id="ans" maxlength="48" value="${ans}"/>

我有类似上面的代码，并且我已经使用模板文字来替换值，但 veracode 扫描仍然显示它存在 xss 漏洞。在这种情况下我该如何解决？

【问题讨论】：

stackoverflow.com/questions/26646894/veracode-issue-in-jsp
这就是我用的value="${ans}"
stackoverflow.com/questions/53612746/…

标签： java jsp xss

【解决方案1】：

使用OWASP Java Encoder使用<input type="text" class="txt long" name="ans" id="ans" maxlength="48" value="<%= Encode.forHtmlAttribute(ans)%>" />

【讨论】：