xss

0熱

1答えて

symfony2のコントローラからエスケープ関数を呼び出す方法は？ビューファイル（PHPエンジン）の場合はそれが同じように呼び出されます。 Hello <?php echo $view->escape($name) ?> 私は、HTMLスニップセットXSS攻撃からいくつかの変数を表示し、逃れるために送信する必要があります。このエスケープ機能はhtmlspecialchars（）またはhtmle

0熱

1答えて

このサニタイズ機能はほとんどの攻撃から保護されますか？

この関数は、誤った入力の大部分からアプリを保存しますか？ユーザー入力は数字のみのテキストである必要があります。 function sanitize($data){ $data = strip_tags($data); $data = htmlspecialchars($data,ENT_QUOTES); $data = filter_var($data,FILTER

2熱

1答えて

PHPを使用してXSSを軽減するOWASPのルール5を実装する方法

OWASP Rule 5 これが意味するものとPHPで実装する方法を正確に説明してもらえますか？完全または相対URLをURLエンコードでエンコードしないでください。信頼できない入力はHREF、SRCまたはその他のURLベースの属性に配置されることを意図している場合、予想外のプロトコル、特にJavascriptのリンクを指していないことを確認するために検証する必要があります。 URLは、他のデータ

1熱

2答えて

コンテンツタイプtext/jsonにセキュリティの影響がありますか？

代わりにtext/plainを使うべきですか？あるいは、クロスサイトセキュリティに関しては、text/jsonが実際に同じものになるだろう。どちらの方法でも、コンテンツは有効なJSONになります。コンテンツタイプのヘッダーについて正しいことを確認したいだけです。

1熱

1答えて

rails：テストでprotect_from_forgeryを無効にするにはどうすればよいですか？

私は私のレールアプリの統合テストを行っていますが、有効でないデータ（つまりrole => 'admin'）のカスタムPOSTが無視されたり、エラーメッセージが表示されたりすることをテストしたい。問題は、authenticity_tokenは設定するのが苦痛であることです。テストを実行するときにprotect_from_forgeryを非アクティブ化する簡単な方法がありますか？少なくとも1つのテ

7熱

5答えて

PHP：HTML属性エンコーディング/ JavaScriptデコード

HTML属性コンテキストの信頼できないデータをエンコードする適切な方法は何ですか？たとえば： <input type="hidden" value="<?php echo htmlentities($data); ?>" /> は、しかし、私は最近、私が合格するために必要なデータだったとき、これは自分のアプリケーションを壊した問題に遭遇した： <input type="hidden" valu

0熱

1答えて

スタイルアトリビュートのセキュリティリスク（xss）

外部ソースからのHTMLの表示が許可されているので、表示する前にウィルス定義を行います。ソースはいくらか信頼されていますが、別のレイヤーを追加したいと考えています。スタイルタグを削除しますが、スタイル属性を保持したいと考えています。私はスクリプトがその属性に置かれることができ、XSSでこれらのスクリプトをどの程度使用できるのか不思議に思っていました。言い換えれば、スタイルタグを使用する際の具体的

1熱

1答えて

AutobanとXSSの問題

私はSpringアプリケーションをバックエンドに、GWTアプリケーションをフロントエンドに持っています。ユーザーが '' index.jsp ''にログインすると、ユーザー情報がjavascript変数として出力されます。私はAutoBeanFactoryを使用して、ユーザー情報をjsonとしてエンコードおよびデコードしています。ユーザーは登録でき、ユーザー情報はデータベースに格納されている

1熱

3答えて

Spring MVSでのXSSの防止

これは以前に尋ねられたことですが、Spring MVC WebアプリケーションのXSS攻撃を防ぐ方法を理解しようとしています。 1）私は、データベースに保存する前に、私は、フォームのコマンドオブジェクトの各プロパティのためのコモンズStringEscapeUtils.escapeHtml（）を使用するべきである私のweb.xml <context-param> <param-name>d

1熱

2答えて

他のドメインからのポップアップでjavascriptコールバックが可能ですか？私は、純粋なJavaScriptの方法を探してい

： * refer to a javascript from a different domain than the current page. * the javascript launches(after a user click) a popup to the same domain the javascript is loaded from. * the popup calls a c