URL编码输入场景下XSS防护失效问题求助

问题根源 #

核心问题是编码器上下文误用+未处理URL编码输入：

• Encode.forHtml()仅适配HTML内容场景，但你把用户输入直接插入JavaScript代码（变量赋值、DOM元素引用）中，编码规则不匹配；
• 未对URL编码的输入做解码处理，导致恶意payload绕过HTML编码逻辑，直接进入JS执行环境。

具体修复步骤 #

• 先解码URL编码的输入
  所有从request.getParameter()获取的参数，先执行URL解码，确保拿到原始输入后再处理：

  String addressParam = URLDecoder.decode(request.getParameter("address"), "UTF-8");
  String actionParam = URLDecoder.decode(request.getParameter("action"), "UTF-8");
  String houseNumberParam = URLDecoder.decode(request.getParameter("houseNumber"), "UTF-8");
  

  解码后可追加格式校验：比如address作为DOM元素ID，仅允许字母、数字、下划线，不符合则直接拒绝请求。

• 针对JS上下文使用正确编码器
  OWASP Encoder提供了不同场景的编码方法，替换代码中的错误编码：

  • 替换DOM元素引用处的HTML编码：

    var span = window.parent.document.all.<%=Encode.forJavaScript(addressParam)%>;
    

  • 替换JS字符串赋值处的HTML编码：

    var action = '<%=Encode.forJavaScript(actionParam)%>';
    

    Encode.forJavaScript()会将特殊字符转义为JS安全格式（如'转\'、<转\u003C），彻底阻断JS注入。

• 修复innerHTML和bean:write的风险

  • 若streetName是用户可控内容，立即去掉filter="false"，改用默认filter="true"，或手动编码：

    var streetname= "<%=Encode.forHtml(address.getStreetName())%>";
    

  • 拼接span.innerHTML时，确保所有用户可控内容（如houseNumberParam）都经过Encode.forHtml()编码；若仅展示文本，直接用span.textContent替代innerHTML，从根源避免HTML解析风险。

• 添加输入白名单校验
  对参数做严格限制：

  • action参数仅允许预定义值（如postcode），不符合则返回错误；
  • houseNumber用正则校验格式，比如仅允许数字、字母和有限符号：houseNumberParam.matches("[0-9A-Za-z/-]+")。

内容的提问来源于stack exchange，提问作者NAVOZ