質問: uri.getQuery() + '>">'; uri.setQuery(query); ``` uriを作成している時点で私のつたないJava/JavaScriptの知識だとパラメーター等がURLエンコードされてしまうとおもうのですが、URLエンコードせずにアクセスする方法はないでしょうか? new URIの部分で第2引数をtrueにするとスクリプトが落ちてしまいます。 上記コードを走らせた場合のOWASP上のURL表示 ------------------------- ``` https://localhost/app/index.html?cc=aaa%3E%22%3E%3Cscript%3Ealert(1)%3C/script%3E ``` 以上です。ご教授のほど、よろしくお願い申し上げます。 追記 -- コードをリファクタし、再掲しました。 uriのクラスを下記コードで調べたところ「org.apache.commons.httpclient.URI」でした println(uri.getClass());
回答: uri.setQuery(query); ↓ uri.setEscapedQuery(query); でうまくいかないでしょうか?