XSS轉碼 && struts2 property標籤的bug

一。瞭解背景 下面兩張圖，比較html轉義和js的轉義。 一定要區分清楚的是，內容回寫頁面，一定要做的是JS轉義！！而不僅僅是html轉義   從上面兩張圖可以看出，js裏面需要轉義到的 單引號'，反斜槓\ 均不在html轉義字符之列！（如果針對XSS的話，只要對 < > ' "）     二。<s:property value="xx"/>的稀爛之處 1.這個標籤默認是帶了html轉義的，即完全

>>阅读原文<<