Spring MVSでのXSSの防止

Question

これは以前に尋ねられたことですが、Spring MVC WebアプリケーションのXSS攻撃を防ぐ方法を理解しようとしています。

1）私は、データベースに保存する前に、私は、フォームのコマンドオブジェクトの各プロパティのためのコモンズStringEscapeUtils.escapeHtml（）を使用するべきである私のweb.xml

<context-param> 
    <param-name>defaultHtmlEscape</param-name> 
    <param-value>true</param-value> 
</context-param>  

2）に、次の追加しました？ある時点でエスケープする必要がありますか？デフォルトでHTMLをエスケープすることは、それが動作しない状況は確かにある多くの状況でXSSを停止

Answer 1

今のところ、私はJavaScriptの攻撃を避けるために、データをサニタイズし、HTMLタグを削除することに決めました。

私はJsoup APIを使用しています。

http://jsoup.org/cookbook/cleaning-html/whitelist-sanitizer

Answer 2

にもかかわらず

感謝。ここにある例を参照してください。 http://erlend.oftedal.no/blog/?id=124 OWASP XSS予防チートシートをご覧ください。異なるエスケープを使用する必要がある場合について説明します。 2については、dbに入れる前にエスケープしないでください。エスケープルーチンにエラーがあり、毎回同じコンテキストでデータが使用されることを確認できません

Answer 3

この種のデータセキュリティをアプリケーションで使用することをお勧めします。これにより、あなたのWebアプリケーションに対するこの7つの異なる可能性のある攻撃が防止されます。私は現在、Spring Frameworkと同じAPIを使用しています。

Click here for HDIV home page.

が、これはあなたのお役に立てば幸いです。