Spring eval url JSP 中的 Veracode 问题

Question

我有一个 JSP 页面，我从下面的属性文件中获取 URL -

<spring:eval expression="@environment.getProperty('url.home')" var="homeUrl" />

它的用法如下 -

<a target="_blank" href='${homeUrl}'>
  <span>Home</span>
</a>

我遇到了 href='${homeUrl}'.

的 veracode 问题 CWE-80（网页中与脚本相关的 HTML 标签的不当中和）

解决此 Veracode 问题的更好方法是什么？

Answer 1

对于您的场景，使用 jstl 标签，例如

<a target="_blank" href="<c:url value='${homeUrl}' />">
  <span>Home</span>
</a>

Spring eval url Veracode issue in JSP