XSS转码 && struts2 property标签的bug

一。了解背景 下面两张图，比较html转义和js的转义。 一定要区分清楚的是，内容回写页面，一定要做的是JS转义！！而不仅仅是html转义   从上面两张图可以看出，js里面需要转义到的 单引号'，反斜杠\ 均不在html转义字符之列！（如果针对XSS的话，只要对 < > ' "）     二。<s:property value="xx"/>的稀烂之处 1.这个标签默认是带了html转义的，即完全

>>阅读原文<<