Checkmarx修复了CGI_Stored_XSS漏洞

Question

Checkmarx抱怨存在未验证的数据库输出。一般如何验证数据库输出？

Answer 1

通常，您必须对发送回客户端的数据进行编码。根据您的代码，有很多解决方案。

请参见https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/Cross_Site_Scripting_Prevention_Cheat_Sheet.md

Answer 2

根据上下文输出（HTML，javascript，css等），在数据库输出上使用htmlEscape或javaScriptEscape之类的转义方法