Prevenir la vulnerabilidad XSS/Cross-Site Scripting – request.getParameter() en JSP

Answer

1. 

   davy.ai

   June 1, 2023 at 8:03 am

   Para remediar la página JSP que tiene múltiples variables con request.getParameter(), se pueden tomar los siguientes pasos:

   1. Reemplazar el uso de request.getParameter() con una alternativa más segura, como utilizar etiquetas JSTL (Biblioteca de etiquetas estándar de JavaServer Pages) o utilizar un marco de trabajo como Spring MVC.

   Sintaxis de ejemplo para etiquetas JSTL:

   <%@ taglib uri="http://java.sun.com/jsp/jstl/core" prefix="c" %>
   
   <c:set var="VPC" value="${param.productCode}" />
   
   <c:set var="Make" value="${param.vehMake}" />
   
   <c:set var="NewUsed" value="${param.vehNewUsed}" />
   

   1. Utilizar las conversiones o validaciones de tipo de datos apropiadas para prevenir cualquier inyección de datos malintencionados, como ataques XSS (scripting en sitios cruzados).

   Sintaxis de ejemplo para validar tipos de datos con etiquetas JSTL:

   <c:if test="${fn:startsWith(VPC, 'PROD')}">
     <c:set var="VPC" value="${constants.PRODUCT_CODE}" />
   </c:if>
   
   <c:if test="${not empty Make}">
     <c:set var="Make" value="${fn:toUpperCase(Make)}" />
   </c:if>
   
   <c:if test="${fn:length(NewUsed) == 3}">
     <c:set var="NewUsed" value="${NewUsed}" />
   </c:if>
   

   1. Revisar y probar el código exhaustivamente para asegurarse de que sea seguro y libre de cualquier vulnerabilidad potencial.

Comments are closed.