发表新帖

发表新帖

使用系统框架中的HTML_FILTER.filter(json);方法进行过滤，发现拼接了多了个引号，导致转对象报错

Blade 未结

关注

 1  77

xMan 2024-11-05 18:32

一、该问题的重现步骤是什么？

1. HTML_FILTER.filter(json);方法进行XSS过滤，当json是这样的，

{

"name": "payload"

}

过滤完成变成了

{

"name": "payload"

}

2. 然后不是json字符串，没法转对象，然后我自己调试了下，是这句代码加了引号，我自己去除引号，会有什么影响吗？

params += " " + paramName + "=\"" + paramValue + "\"";

3.

二、你期待的结果是什么？实际看到的又是什么？

三、你正在使用的是什么产品，什么版本？在什么操作系统上？

bladex2.9.0 windows

四、请提供详细的错误堆栈信息，这很重要。

五、若有更多详细信息，请在下面提供。

1条回答

admin (楼主)

2024-11-06 00:01

不会有影响，逻辑可以自行调整。这个工具类的功能主要就是对原字符串进行xss攻击命令的过滤，在保留原有过滤逻辑后，你对过滤完的字符串进行格式定义是没有问题的。

0 讨论(0)
发布评论:

提交评论
- 加载中...

热议问题: org.springblade.core.tenant.exception.TenantDataSourceException: argument "content" is null 1; docker方式部署到服务器后，登录提示“认证信息错误或无效” 1; 请问，咱们框架有没有对word类文档操作的工具类？ 1; kuboard spray部署k8s集群离线部署失败 1; @PreAuth("hasRole('yadmin')") 接口权限问题 1; Tenant-Id ' is not a valid HTTP header field name. 1; 公众号登录系统 1; 物联网平台-同一个属性上报在设备日志出现多条 2; 代码生成后，没有wrapper和feign 2; 4.3.0版本的界面，怎么取消注册按钮 1

官方产品

BladeX 企业级开发平台 BladeX 可视化数据大屏

官方新品

BladeX 物联网开发平台

扫一扫访问 Blade技术社区移动端