需要有关丰富的帮助：Linux 上的文件上传问题

Question

当我尝试上传文件名中包含 html 代码的任何文件时，我在 linux 上的应用程序中使用了rich:fileUpload，即"file<img src=xyz onerror=alert('TEST')>Name.png"，它会在上传文件之前给我 javascript 警报。我在现场演示中尝试过，也发现了同样的问题。如何在 linux 的文件名中限制/转义 html/script 或 XSS 的执行？

您可以按照linux上的步骤自行尝试。

创建一个名为"file<img src=xyz onerror=alert('TEST')>Name.png"的文件 使用以下网址访问richfaces 展示上的rich:fileUpload 演示。 上传文件，您将看到一个 javascript 警报。

http://showcase.richfaces.org:8000/richfaces/component-sample.jsf?demo=fileUpload&skin=blueSky

Answer 1

我尝试上传文件名中包含 html 代码的任何文件，即 “文件名.png”。

您说的是文件名中的 html 代码，但我在“fileName.png”中没有看到任何 html。

如果我没记错的话，文件名应该是 file<img src=x onerror=alert('Javascript')>.pdf。