Closed hiccup711 closed 1 month ago
如果 Json 字段中存在 xss 执行脚本，会被直接渲染 html 执行。
复现： "[\"<sCRiPt sRC=\\/\\/code.jquery.com/jquery-3.7.1.min.js><\\/sCrIpT>\"]"
"[\"<sCRiPt sRC=\\/\\/code.jquery.com/jquery-3.7.1.min.js><\\/sCrIpT>\"]"
由于是
标签渲染，这里的 js 脚本直接被浏览器加载 这里直接阻断了后续的 html 渲染
这里直接阻断了后续的 html 渲染
已合并到主代码 直接使用json()方法即可
PorygonCN
commented
1 month ago PorygonCN
commented
1 month ago
如果 Json 字段中存在 xss 执行脚本，会被直接渲染 html 执行。
复现：
"[\"<sCRiPt sRC=\\/\\/code.jquery.com/jquery-3.7.1.min.js><\\/sCrIpT>\"]"由于是