이 상황에서 XSS를 만드는 것이 가능하다

Question

내가 다음 코드와 JSP 파일이 : :

<form action=<%= request.getContextPath() %>/query_flight? ... 

정적 코드 검사를 수행하는 codesecue를 사용하여, 나는 XSS 공격 경고를 받았습니다

context.getContextPath은 Java EE 표준 API이므로 혼란 스럽습니다. XSS 공격을 수행 할 수 있습니까?

의견이 있으십니까?

Answer 1

도구가 잘못되었습니다. 즉, <c:url> JSTL 태그를 사용하여 URL을 생성합니다. 컨텍스트 경로 및 세션을 추적하는 데 필요한 경우 URL 재 작성을 처리합니다.