jello-optimizer-jsp-xss

jello-optimizer-velocity-xss

与FIS组@2betop发布的jello-optimizer-velocity-xss类似

自动将JSP内容区的变量加 fn:escapeXml 包裹，用于防止恶意代码执行。

另外，对于<c:out>标签强制加入属性escapeXml="true"

使用

安装

npm install -g jello-optimizer-jsp-xss

启用插件

fis.config.set('modules.optimizer.jsp', 'jsp-xss');

然后使用 release 命令的时候，记得带上 -o 参数。

jello release -o

配置项

• blacklist 。数组格式，元素为正则对象,。用于规定哪些变量不转换。

fis.config.set('settings.optimizer.velocity-xss', {
  blacklist: [
    /^foo/i, // foo 打头的变量不进行转换。
  ]
});

• cleanJspComments 。布尔值。默认为true，即在编译时去除服务端注释<% ... %>。