Struts标签是否阻止XSS

Question

我正在使用Struts 1.1版本。强化扫描工具报告表单参数中的XSS攻击的可能性。 Struts标记防止默认的xss攻击

Answer 1

Struts 1.X版本来到EOL。如果您正处于初始阶段，那么应该切换Struts2。是Struts 1.1有一些XSS漏洞的机会。查询this site了解更多信息。为了防止XSS (Cross-site scripting)至少需要upgrade到Struts 1.2.8。您可以配置您的Servlet容器以使用404/Not Found错误的自定义错误页面。像这样，

<struts-config> 
    <action-mappings> 
     <action path="/unknown" forward="/CustomNotFoundError.jsp" 
                  unknown="true" /> 
    </action-mappings> 
</struts-config> 

希望这会有所帮助。