ajax响应返回html响应（XSS veracode）

Question

function viewAcc() {

    var errorMsg = "";

    var result = true;

    $(".errorView").hide();

    var accNum = document.getElementById('custAccNum').value;

    var accType = document.getElementById('custAccType').value;

    $("#overlayPopup").show();

    $.ajax({

        url : '<attribute:resourceURL/>',

        data : {

            "custNo" : accNum ,

            "custType" : accType 

        },

        success : function(data) {

            if (data == 'CUS_ACC') {

                window.location = "/cust/account/c";

            } else {

                $("#overlayPopup").hide();

                //display warning

                $(".errorView").show();

                $(".errorView").html(data); // <--- XSS line

                e.preventDefault();

            }

        },

        cache : false,

        dataType : 'text',

        error : function(error, textStatus, errorThrown) {

            alert('error in ajax call: ' + textStatus);

            console.log('error in ajax call: ' + textStatus);

            window.location = "/cust/account/c/lookup";

        },

        timeout : ajaxTimeOutMilliSeconds

    });

}

因此，veracode指出我在$(".errorView").html(data); 如何解决此问题上有问题。如果我只是将其转换为文本，它是否会像html一样显示在客户端上？

Answer 1

不要盲目相信那些声称您容易受到XSS攻击的工具。仅当XSS的值不可信时，您才有遭受XSS的风险data。由于它来自您自己的服务器，因此您应该已经对XSS问题的数据进行了清理，然后再将其发送到对Ajax请求的响应中。