如何从 getResultList 元素修复 Checkmarx 存储的 XSS 问题答案

【问题标题】：How to Fix Checkmarx Stored XSS issue from a getResultList element如何从 getResultList 元素修复 Checkmarx 存储的 XSS 问题
【发布时间】：2020-08-11 11:35:48
【问题描述】：

在 Java 中，在下面的行中：

TypedQuery<T> query=entityManger.createQuery(queryString, clazz);

List<T> result =query.getResultList();

这是说变量结果需要正确过滤或编码，否则可能会导致跨站点脚本攻击。

我已经用过HtmlUtils.htmlEscape(queryString)String对象了。

任何帮助和建议将不胜感激。谢谢

【问题讨论】：

您需要编码output，而不是queryString。查看@RomanCanlas 结果。

标签： java xss checkmarx secure-coding

【解决方案1】：

Checkmarx 最终将查看接收器（输出）。然后，您必须在列表中的每个结果项中执行 htmlEscape

List<T> newResult = new ArrayList<T>();
for (T temp : result) {
    newResult.add(HtmlUtils.htmlEscape((String) temp));
}

【讨论】：

欢迎您@nitesh，欢迎来到stackoverflow！