Grailsは

Question

私たちはURLでLANGパラメータを渡すと、私は返すRequestContextUtils.getLocale（リクエスト）、によって、ロケールを取得することができ、コードでのGrailsアプリケーション

/url?lang=de 

のロケールを変更することを知っていますlangパラメータを使用して、ParamsAwareLocaleChangeInterceptor（grailsソースの一部）で設定されたロケール。

スクリプトまたは破損した文字列がlangパラメータに値として渡された場合、同じクラップがロケールとして設定されます。

/url?lang=>"'><script>alert(167) </script>&=>"'><script>alert(167)</script> 

この要求では、httpヘッダーのContent-languageは、langパラメータのscript = valueに設定されます。このRCU.getLocale（）の後には、多くのコンテンツがロケールに基づいて決定されるため、私のサイトのコンテンツを乱すこの悪意のあるスクリプトが返されます。この問題を回避する方法（ロケールを設定する前にlangをサニタイズする）か、これはgrailsのバグですか？

また、langで渡されている内容を制限できますか？例：サイトで 'en'と 'de'だけがサポートされている場合、/ url？lang = esを渡すとコンテンツが壊れます。 grailsインターセプタでロケールの変更が起こる前に、langパラメータの値を 'en'と 'de'だけに制限する方法がありますか？

Answer 1

3つのオプションが考えられます。

1）langを制限するには、リクエストごとにロケールをフィルタに設定します。しかし、これはリロード時に毎回リセットされています。

def filters = { 

    before = { 
     def locale = new Locale("sv","SV") 
     RCU.getLocaleResolver(request).setLocale(request, response, locale)     
    } 

} 

2）messages.propertiesファイルのみを残して、すべてのメッセージプロパティファイルを削除することができます。したがって、システムは常にこのプロパティファイルをデフォルトにします。

3）デフォルトのロケールを設定するには、config/spring/resources.groovyでLocaleResolverを設定できます。