Spring XSS 공격 방지

참고 : https://jeevanpatil.wordpress.com/2011/07/22/prevention_of_xss

글로벌 설정
web.xml

<context-param>
   <param-name>defaultHtmlEscape</param-name>
   <param-value>true</param-value>
 </context-param>

public void onStartup(ServletContext servletContext ) throws ServletException {
  ...
  servletContext.setInitParameter( “defaultHtmlEscape”, “true” );
}

위처럼 설정을 하게되면 무슨일이 일어나나?
XSS공격을 통해 스크립트가 삽입되어도 페이지가 그려질 때 스크립트가 실행되지 않는다.

lucy 필터 사용하면 되지 않나?
설정이 더 간단하고 개인적으로 < 등으로 치환하지 않기 때문에 더 깔끔해보여서 좋다.

문제점은?
<spring:~ , <c:~등 스프링태그에만 해당하고 EL태그(${})는 별도로 설정해주어야 한다.