[JSP] JSP태그에서 삼중 중첩 따옴표를 올바르게 이스케이프하는 방법

https://blog.naver.com/loodon8949/222662505688

JSP 태그에서 삼중 중첩 따옴표를 올바르게 이스케이프하는 방법

 

소스코드 보안 약점 진단하다가 새롭게 알게된 중요한 포인트.

 

ex)

게시판을 구현해서 게시판에 글을 등록한다고 가정.

제목에 안녕하세요 를 작성할때

<script>alert<"안녕하세요"></script>

이런식으로 js를 넣으면 자바스크립트 코드가 실행된다.

 

❗그래서 출력 문자열에 HTML 특수문자(예: <, >, &, ' 또는 ") 포함되어 있을 경우

HTML을 해석하지 않고 그대로 출력되도록 해준다 라는 뜻이다.

 

c:out을 넣으면 제목에 <script>alert<"안녕하세요"></script> 가 그대로 출력된다.

자바 스크립트 코드로 개인정보를 훔치고, 악성코드를 심을 수도 있어 주의해야한다.

 

 

블로그 참고.

https://kimfk567.tistory.com/17글참고