extends 되는 xml들 질문요

aftermagic commented 6 years ago

두가지 질문이 있습니다.

첫번째는 설정 파일 중(/conf/) 아래 파일들이 extends하는 default.xml 파일들은 소스 목록에 없는것 같은데요. lucy-xss-superset-sax.xml extends lucy-xss-default-sax.xml lucy-xss-superset.xml extends lucy-xss-default.xml

이것들은 어디서 찾을수 있을까요?. 아님 없어도 되는건가요?.

두번째는

<defender>
            <name>xssSaxFilterDefender</name>
            <class>com.navercorp.lucy.security.xss.servletfilter.defender.XssSaxFilterDefender</class>
            <init-param>
                <param-value>lucy-xss-sax.xml</param-value>   <!-- lucy-xss-filter의 sax용 설정파일 -->
                <param-value>false</param-value>        <!-- 필터링된 코멘트를 남길지 여부, 성능 효율상 false 추천 -->
            </init-param>
        </defender>

해서 필터링을 하는데요 필터링 코멘트를 false 로 줬는데  라는 태그가 내용에 붙습니다. 설정대로라면 코멘트가 안붙어야 정상인거 같은데.. 흠;

아래와 같이 url로 적용 했습니다.

<url-rule>
    <url>/board/insert.do</url>
    <params>
        <param name="content" useDefender="true">
            <defender>xssSaxFilterDefender</defender>
        </param>
    </params>
</url-rule>

benelog commented 6 years ago

1. 디폴트 파일들은 아래 폴더에서 확인하실 수 있습니다.

https://github.com/naver/lucy-xss-filter/tree/master/src/main/resources https://github.com/naver/lucy-xss-filter/tree/master/conf

2. 코멘트가 남은 경우의 데이터를 더 자세히 알려주시면 정상적인 상황인지 확인을 하는데 더 도움이 될것 같습니다.

aftermagic commented 6 years ago

benelog// 답변 감사합니다. 2번에 대한 내용은 <script>alert('필터적용');</script>로 등록 했습니다. 우선 default xml 들 적용을 해보고 다시 답글 달겠습니다.

naver / lucy-xss-filter

extends 되는 xml들 질문요 #17