[JSP ] 如何有效地避免XSS問題

[Frex]

目前是打算自己寫一支程式

就特殊字元取代/編碼

像這樣

StringFilter myFilter=new StringFilter();
String id=myFilter.getFString(request.getParamter("id"));

因為之前寫了很多支程式

現在才重視到這個問題

如果每一支程式 取得參數的地方都要修改

似乎非常的麻煩

不知道有沒有更好的方法可以解決？


另外

不知道各位有沒有在網路上看到有關

jsp 在解決xss 和 sql injection的詳細教學

找了很久 似乎找不太到@@?

--

謝謝

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 61.225.196.145

[骨頭‧沉默是金‧]

※ 引述《frex (Frex)》之銘言：
: 目前是打算自己寫一支程式
: 就特殊字元取代/編碼
: 像這樣
: StringFilter myFilter=new StringFilter();
: String id=myFilter.getFString(request.getParamter("id"));
: 因為之前寫了很多支程式
: 現在才重視到這個問題
: 如果每一支程式 取得參數的地方都要修改
: 似乎非常的麻煩
: 不知道有沒有更好的方法可以解決？

讀檔用 regex 判斷後直接做全文取代吧。

: 另外
: 不知道各位有沒有在網路上看到有關
: jsp 在解決xss 和 sql injection的詳細教學
: 找了很久 似乎找不太到@@?

之前查過Sql injection的資料，
大部分都是做String replace。

Sql injection 的處理方式
就是不要直接把request的資料接進SQL裡，

先把一些SQL 的escape char 如 ' 處理掉，


如果是字串類別的，replaceAll("'","''")
就可以防堵一些基本的置入性攻擊了。XD


剩下的就讓強者來說吧 ~

--
I am a person, and I am always thinking .
Thinking in love , Thinking in life ,
Thinking in why , Thinking in worth.
I can't believe any of what ,
I am just thinking then thinking ,
but worst of all , most of mine is thinking not actioning...

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 220.134.27.68