wicketのjavascript注入

Question

私はWicketフレームワークを使用するJ2EEプロジェクトを持っています。 私はwicketでjavascript注入を防ぐ方法を知りたいですか？

Answer 1

私はあなたの質問を策定した方法（詳細、バックグラウンド、例文の例文、注入の黙示された感受性など）にはふさわしくないと思っていましたが、優秀な人から詳細を掘りましたWicket in Action：

のWicketはデフォルト

によって安全であるあなたは しようとしておよそ にきび-直面した14歳は、Webアプリケーションをハック心配する必要はありません。これを行うには、 セッション をハイジャックして、適切なページ の識別子とバージョン番号を推測する必要があります。 はセッションに関連し、 は関連するコンポーネントパスです。 は、それをオフにするために永続的なハッカーになる必要があります。 のアプリケーションを という既定値からさらに安全にするには、 などの要求を暗号化します（例： CryptedUrlWebRequestCodingStrategy）。

Answer 2

すべてのWicketコンポーネントは、デフォルトで（ラベル、テキストフィールドなどによって）エスケープ文字列を使用します。これにより、JavaScriptの注入に関するよくある問題が回避されます。

何らかの理由でこの動作（component.setEscapeModelStrings(false)）を無効にするか、出力に直接マークアップを書き込む場合はカスタムレンダリングされたコンポーネントを作成すると、適切な注意が必要です。