コメントアウトされた JS_javascript ヒントによって引き起こされるセキュリティ問題を過小評価しないでください

1 つはヘッダー挿入の問題です。
もう 1 つは rn 問題です。
このコードを見てみましょう:
1.
2.

抜け穴があるように見えますが、パッチが適用され、コメント化されています。
コメントアウトされているので問題はないでしょうか?
いいえ。
この URL をもう一度見てください
http://localhost/index.jsp?username=kxlzx alert('kxlzx
イライラしませんか?
次のコードが生成されました:
test


コメントアウトされた JS も実行されました。 <script> <BR>3. //alert('<%=request.getParameter("username")%>'); <BR>4. </script>だから、'コードやコメントアウトされた JS などは HTML に放り込まれます。<script> <BR>//alert('kxlzx <BR>alert('kxlzx '); <BR></script>コードレビューはデリケートな作業であり、漏れがある場合は注意が必要です。