關於Java的Fortify Open重定向問題

Question

var param=document.getElementById("test").value;
var url= "http://localhost/app/default.aspx?test="+param;
Window.showModalDialog(url);

showModalDialog方法行向我顯示了強化開放重定向的問題。 無論如何，我可以在客戶端（在javascript文件中）解決問題嗎？

您的幫助將不勝感激。

Answer 1

Fortify表示您正在將用戶重定向到URL由用戶輸入組成的新站點，如果使用輸入值以特殊方式對其進行了操縱，則攻擊者可能會仿冒網站或進行其他攻擊。 OWASP.org參考

解決此問題的最佳方法是在服務器上為參數test創建可接受的參數值的白名單，因此，當服務器接收到帶有test值的請求時，如果該參數的值可以將用戶重定向到頁面參數無法識別/無效。 鑒於問題中提供的信息，沒有針對此問題的可靠解決方案完全在客戶端。 盡管我不確定Fortify是否會對正則表達式衛生滿意，但是正則表達式將在理論上有所幫助。