XSS JSコードファイルに渡されたパラメータのための防止

私は、次のフローがあります。クエリパラメータ付きURL、サーバー側でいくつかのロジックを実行し、その後、XSS JSコードファイルに渡されたパラメータのための防止

javascriptファイルが含まれています。これはメインロジックです。
<script>このJSコードのパラメータを持つJSオブジェクトを含むタグで、部分的に以前のクエリパラメータから取得されたタグです。

ここで、XSS注入を防ぐために、受け取ったパラメータをサニタイズします。問題は、そこにパラメータの1つがトークンなので、私はバリデーションに厳格すぎる（すべての可能なXSS文字があまりにも厳しくないのを許さない）ことを望んでいないが、私が扱っているほとんどのライブラリ純粋なHTMLであり、JSコードではありません（<script>タグ内）。私は、セキュリティを扱うとき（ユニットテストと正規表現の束ではない）、オープンソースライブラリを信頼するために使用されているので、私はすべての正規表現ソリューションを読むと少し不安を感じる。

ライブラリに関するアドバイス&可能なアプローチ？私たちはJVM環境で動作します。

出典

2016-08-04 yevgeniy mordovkin

私はあなたのクエリ文字列パラメータをhtmlでエンコードして、あなたのhtmlレスポンスページに安全に表示できると思います。 javaではorg.apache.commons.lang.StringEscapeUtilsを使用することができます –

JSオブジェクトのプロパティの値としてURLパラメータを渡していますが、それは正しいですか？ – mjsarfatti

@mjsarfattiそうです。 –

最も簡単で簡単な、より安全な方法は、data attributesを使用して、ユーザーが入力した動的な値を表すことです。

この方法では、HTMLエンコーディングについて心配するだけで、複雑な16進エンティティのエンコーディング（\x00）はありません。OWASP recommendです。

たとえば、あなたが持っている可能性があり：@param.token意志出力HTMLは、クエリ文字列パラメータのバージョンをエンコード

<body data-token="@param.token" />

。例えばpage?token=xyz"は出力

<body data-token="xyz&quot;" />

これはあなたのXSSの脆弱性の懸念を緩和しますでしょう。

var token = $("body").data("token");

シンプルかつセキュア：

次に、あなたがJQuery to easy retrieve the data attribute values in your JavaScriptのようなものを使用することができます。

出典

2016-08-05 10:10:53 SilverlightFox

OP、ifあなたは ''（ 'foo ''）' 'html（token）'で終わっているか、または ''すべてのクライアント側のJavaScriptの使用のために魔法のように安全ではありません。無数の安全でないメソッドのうち、最初に反映されたXSSの問題ではなくDOMベースのXSSの問題に脆弱になります。 – coastalhacking