今天突然被行里科技告知，行里通过代码扫描工具检测到我写的某个类存在xss漏洞，要求我在下次上线之前修复。
我仔细看了下扫描日志，检测到的下面这段代码存在问题，我用下面这段代码去获取pdf文件的流进行预览。
//一次性读入
public static byte[] getByte2(String name) throws IOException{
InputStream is = null;
is = new FileInputStream(new File(name));
byte[] buff = new byte[is.available()];
is.read(buff);
return buff;
}
开始也是为了解决预览的问题，所以网上找了段代码进行修改实现业务，虽然我觉得行里是无理取闹（审核端仅能内网访问），但是还是得找找他的扫描机制。
XSS攻击通常指的是通过利用开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括[Java]、 [VBScript]、[ActiveX]、 Flash 或者甚至是普通的HTML。攻击成功后，攻击者可能得到包括但不限于更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容。
我觉得行里扫描的有问题,目前没有觉得有啥问题。、
ps:12月20号，行里科技催我提交代码，我试着换了种写法针对
byte[] buff = new byte[is.available()];
is.read(buff);
行里系统排查不出来了，哈哈哈哈哈。感觉他这个国外买的软件也就是对某些写法有检查。
关于一次xss漏洞的思考
最后编辑于 ：
©著作权归作者所有,转载或内容合作请联系作者
- 文/潘晓璐 我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
- 文/花漫 我一把揭开白布。 她就那样静静地躺着，像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上，一...
- 文/苍兰香墨 我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
推荐阅读更多精彩内容
- Sql注入漏洞：Web程序中对于用户提交的参数未做过滤直接拼接到SQL语句中执行，导致参数中的特殊字符破坏了SQL...
- 这8种学生永远拿不到高分！早看早受益！ 下面是一位资深班主任总结了8种成绩提不上去的原因，分别对应8类孩子，如果你...
- 这8种学生永远拿不到高分！早看早受益！ 下面是一位资深班主任总结了8种成绩提不上去的原因，分别对应8类孩子，如果你...
- 感谢原作者分享成果，转载目的是自己备份一份，防止作者那天不开心关了，整理起来很不舒服，哈哈哈哈，原文链接： XSS...
