Как в spring MVC(3.x) сделать защиту от xss на уровне всего приложения?

Question

[pocteg]

Добрый день!

У меня приложение на spring MVC. Мне нужно добавить защиту от CSS атак на уровне всего приложения. Как мне сделать, что бы все входящие параметры от любых запросов автоматически экранировались? Вариант, когда каждый запрос отдельно, или экранировать при выводе в jsp не подходит, тк есть опасность забыть какой либо параметр.

Answer 1

[Николай Павлов]

В web.xml

<context-param>
    <param-name>defaultHtmlEscape</param-name>
    <param-value>true</param-value>
</context-param>

Comments

[pocteg]

данный вариант не подходит. Точнее не работает. Когда я вывожу параметры ${param}, они все равно остаются с тегами script. Не знаю почему.

[Николай Павлов]

pocteg: а с чего вы взяли что их не будет?))