普遍的弱点

请勿将用户控制的输入写入错误页面。

仔细检查每个输入参数，以定义允许的特定字符和格式的严格正面规格（允许列表）。所有输入都应被中和，而不仅仅是用户应该指定的参数，还应在请求中的所有数据，包括隐藏的字段，cookie，标题，URL本身等。导致XSS漏洞的一个常见错误是仅验证预计将被网站重新播放的字段。我们经常遇到由应用程序服务器或开发团队预期的应用程序所反映的请求的数据。同样，当前未反映的领域可以由未来的开发人员使用。因此，建议验证HTTP请求的所有部分。

策略：输出编码

使用并指定可以通过读取输出的下游组件来处理的输出编码。常见编码包括ISO-8859-1，UTF-7和UTF-8。当未指定编码时，下游组件可以通过假设默认编码或自动推断使用哪种编码的编码来选择其他编码，这可能是错误的。当编码不一致时，即使它们在原始编码中并不特别，下游组件也可能将某些字符或字节序列视为特殊。然后，攻击者可能能够利用这种差异并进行注射攻击；他们甚至能够绕过假设原始编码的保护机制也由下游组件使用。

输出编码不一致的问题通常在网页中出现。如果未在HTTP标题中指定编码，则Web浏览器通常会猜测使用哪种编码。这可以打开浏览器以微妙的XSS攻击。

使用Struts，将BEAN的所有数据与Bean的过滤器属性设置为true一起写入所有数据。

策略：减少攻击表面

为了帮助减轻对用户会话cookie的XSS攻击，请将会话cookie设置为httponly。在支持HTTPONLY功能的浏览器中（例如，Internet Explorer和Firefox的最新版本），此属性可以防止用户的会话cookie访问使用Document.Cookie的恶意客户端脚本。这不是一个完整的解决方案，因为所有浏览器都不支持httponly。更重要的是，XMLHTTPRequest和其他功能强大的浏览器技术提供了对HTTP标头的读取访问，包括设置HTTPonly标志的Set-Cookie标头。

有效性：深入防御