struts无法过滤dwr请求

[tracy1421]

dwr转换的js可以在url中然后在页面中直接体现出来例如：http://xxx.xx.xx/dwr/interface/xxxxAction.js，这样会有安全漏洞问题，然后会有http://xxx.xx.xx/dwr/interface/xxxxAction.js/<img%20src=srdplu%20xxxxxxxxx>这样修改指定参数为构造的xss特殊字符，就会有这样的跨站漏洞，请问该如何修复，或者避免，因为这个url不走web那边的filter过滤器，现在网站扫描出现这样的漏洞，请各位大大帮帮忙~

[Go 旅城通票]

xss主要是返回到客户端的参数你直接输出了而未做编码，如果不输出参数到客户端死不会报xss漏洞的，随便传递什么参数