我控制结果时正在使用jQuery.html（）一个漏洞

Question

所以基本上我有一个ajax调用，它命中了一个返回部分视图并显示数据的方法，我使用jQuery.html（）。

我们正在通过Veracode安全工具运行代码，并且正在引发XSS漏洞。

这是jQuery：

 $.ajax({

            url: "ReturnTransNoInformation",

            data: { __RequestVerificationToken: ReturnAntiForgeryToken(), TransNo: $("[data-trans-no]").val() },

            type: "POST",

            beforeSend: function () {

                TransNoInfoAjaxBegin("[data-view-trans-no-container]");

            },

            success: function (data) {

                if (data.Success === false) {

                    if (data.ErrorMessage !== undefined && data.ErrorMessage !== null && data.ErrorMessage !== "") {

                        Error(data.ErrorMessage);

                    }

                    else {

                        Error("Something went wrong while loading the TransNo info, please refresh the page and try again.")

                    }

                    $("[data-transno-partial]").html(null); //Potential XSS

                }

                else {

                    $("[data-transno-partial]").html(data); //Potential XSS

                }

            },

            error: function () {

                Error("Something went wrong while loading the TransNo info, please refresh the page and try again.")

            },

            complete: function () {

                AjaxComplete("[data-view-trans-no-container]");

            }

        });

我的部分视图完全由我控制，部分视图中没有JS。这是一个实际的XSS漏洞吗？

Answer 1

如果您在所显示的代码的控制之下，则否。XSS依靠恶意第三方将代码输入到您的网站中。如果没有第三方可以将输入更改为所需的输入，则您网站上的XSS不会有问题。