jsonリクエストにスクリプトが挿入されているかどうかを確認するにはどうすればいいですか？

Question

私たちはクロスサイトスクリプティングのAEMアプリケーションに問題があります。リクエストを提出する前にスクリプトを確認することにしました。サーバー側（Java）のSOAP要求に使用可能なスクリプトがあるかどうかを確認するにはどうすればよいですか。これは、クロスサイトスクリプティングの問題を回避するための正しいソリューションですか？

Answer 1

これは非常に広い質問です。アーキテクチャや実装の詳細がわからないため、実装の詳細を提供することはできません。あなたは何も解決しませんフォームを送信する前に、JSを使用して、唯一のブラウザで「スクリプトをチェック」している場合

• ：しかし、心に留めておくべきいくつかの一般的なXSSのものがあります。フォームは他のツール（例：curl、PostManなど）で作成されたHTTPリクエストを発行するだけで簡単に回避できます。フォームが送信しているリクエストを処理する際に、サーバー側の不良データをチェックする必要があります。 Adobeはあなたを介して読むべきいくつかの推奨事項があります：
  • AEM 6.1
  • AEM 5.6

  限りCQサーバー側でこの種のものを行う方法として

それらのページのPDF「チートシート」リンクがおそらく最も役立ちます。

---

XSSのリスクを緩和するさまざまな方法があります。データをホワイトリストに表示して、正常なデータのみを通過させ、既知の不良データを遮断するためにデータをブラックリストに表示し、スクリプトをHTMLとして扱わないようにデータをエンコードします。何をすべきかよく読んでください。OWASP recommendations

Answer 2

をチェックしてください。このAPIのメソッドを使用すると、XSSセキュリティリスクを防ぐことができます。
一方、おそらく目に見えるものを使うことができますが、それは自動的な文脈を提供しますXSS protection。