页面参数是JSP动态包孕中的url带来的漏洞

????? 部分使用http://127.0.0.1/person.jsp?url=BasicInfo.jsp 模式来进行访问的的页面，参数url的值是页面中动态包含的地址。若在 person.jsp 中对url的值不做限制，就可以被利用显示一些访问受限的文件内容，如：url=/web-inf/classes/com/company/util/xxx.java 。解密的工具类也可能被泄露除去，非常危险。?