"enter"の問題を引き起こすJSP文字列

Question

Javaサーブレットを使用してユーザーが（フォームを使用して）投稿したデータストアにメッセージを保存するアプリケーションエンジンアプリケーションがあります。

String content = req.getParameter("message"); 
message.setProperty("content", content); 

後でJSPでメッセージを処理すると、ユーザーがメッセージを入力するときに「Enter」を押すと実行時エラーが発生します。

messageArray[<%=i%>]= { 
        content: "<%=message.getProperty("content")%>", 

どのように私はこの問題を解決するのですか？メッセージを正しく表示するために「入力」を保存したいと思います。

ありがとうございます！

Answer 1

JSONエンコーディングのようなものを使用して、JavaScriptソースに組み込むために文字列を安全にする必要があります。とにかく、明らかなXSS攻撃を防ぐためにこれを行うべきです。

JavaScriptでは、文字列定数に生の改行文字は使用できません。あなたが望むなら、あなた自身のEL関数を作成して文字列を消毒し、印刷できない文字を\uXXXXエスケープに変換し、埋め込み引用符がバックスラッシュで始まることを確認することができます。