无法传递'＆lt;'在URL中作为参数

Question

为什么我无法传递'＆lt;'字符作为URL中的参数？ 如果我这样做：

http://localhost:9566/?myVar=2没关系

但我做不到：

http://localhost:9566/?myVar=<foo>为什么这会给我一个错误？

当我对<foo>进行网址编码时，我得到了%3Cfoo%3E。

当我http://localhost:9566/?myVar=%3Cfoo%3E时，我仍然会遇到同样的错误：

Answer 1

这是设计的。您尝试传递的字符可能会用于跨站点脚本（XSS）攻击。

以下是一些链接，可帮助您开始了解XSS的内容：

• https://www.owasp.org/index.php/Cross-site_Scripting_%28XSS%29
• http://www.cgisecurity.com/xss-faq.html

虽然你可以禁用这种类型的验证，但我不推荐它。你真的需要在查询字符串参数中传递一个标签吗？