1

На сайте есть редактор статей, он генерирует HTML код в зависимости от свойств текста. Его я отправляю на сервер, и чтобы снова вывести на странице просмотра данной статьи приходится отключать замену тегов HTML спецсимволам, т.е:

<h:outputText escape='false' content=${post.content}'/>

Но в таком случае, как я понимаю появляется уязвимость к XSS атакам, поэтому прежде чем загрузить, написанный контент в бд, я должен проверить на наличие script'ов внутри статьи, делаю это следующим образом:

public String replaceScript(String html){

    if(html == null || html.length() < 7){
        return html;
    }

    final String PATTERN_STRING = "<[. | \\n]*?script[. | \\n]*?>";
    final String replace1 = "&lt;"; // <
    final String replace2 = "&gt;"; // >

    Pattern pattern = Pattern.compile(PATTERN_STRING);
    Matcher matcher = pattern.matcher(html.trim());

    StringBuilder builder = new StringBuilder(html);
    while(matcher.find()){
        int start = matcher.start(), end = matcher.end();

        builder.replace(start , start, replace1);
        builder.replace(end + replace1.length(), end + replace1.length(), replace2 );

    }

    return builder.toString();
}

Всё ли я правильно сделал, или угроза XSS все равно остаётся?

1 ответ 1

2

Это только предохраняет от вставки тэгов <script>, но угроза все равно остается, поскольку некоторые значения могут содержать javascript инектированный код. Чтобы такого не происходило нужно инкодить значения переменных при выводе в JSP.

2
  • а что значит инкодить значения переменных? 12 июл 2018 в 12:24
  • это значит заменять опасные символы на безопасные.
    – Roman C
    12 июл 2018 в 12:33

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.