Cross-Site Scripting: SAPUI5 Control

傳送未經驗證的資料至網路瀏覽器，會導致瀏覽器執行惡意的程式碼。

Cross-Site Scripting (XSS) 弱點會在以下情況中出現：

1.資料從一個不可信賴的來源進入 Web 應用程式。在 SAPUI5 中，您可以透過延伸其他控制項來建立自訂控制項。由於這些控制項主要用於一般用途，因此開發人員應該將使用者控制的資料傳遞給至其屬性之一。


2.未經驗證且包含在動態內容中的資料將傳送給某個網頁使用者。如果是 SAPUI5 控制，惡意內容會作為控制項的一部分呈現。

在 SAPUI5 控制項中，惡意內容是以 JavaScript 片段，或瀏覽器執行的其他程式碼類型的形式出現。由於 SAPUI5 控制項應該被反覆地重複使用，因此應用程式的執行個體可能不會直接將惡意資料傳遞給控制項，但這應該被視為標準的 DOM 型 XSS 弱點。對應用程式程式碼的微小改變，都可能會導致傳遞惡意資訊。唯一的例外情況是當控制項不安全地動態產生 HTML 時，例如 sap.ui.core.HTML 控制項的 content 屬性。

範例 1：考慮自訂控制項：

sap.ui.define([
  'sap/ui/core/Control'
], function (Control) {
  return Control.extend('CustomControl', {
      metadata: {
          properties: {
              foo: { type: 'string', defaultValue: '' }
          }
      },
      renderer: {
          render: function (oRm, oControl) {
              oRm.write('<div>' + oControl.getId() + ':' + oControl.getFoo() + '</div>')
          }
      },
      init: function () { }
  })
})

foo 屬性可能會從應用程式的另一部分傳遞使用者控制的資料，這些資料會直接呈現給 DOM。

如果傳遞至 foo 屬性的資訊只包含標準英數字元文字，則此程式碼範例便會正確地運作。如果 foo 的值包含中繼字元或來源程式碼，則在轉譯此控制項後，程式碼會被新增至 DOM 供瀏覽器執行。