跨站脚本攻击预防速查表¶

其他需要注意的区域包括：

回调函数

代码中处理 URL 的位置，例如此 CSS { background-url : “javascript:alert(xss)”; }

所有 JavaScript 事件处理程序（onclick(), onerror(), onmouseover()）。

不安全的 JS 函数，如eval(), setInterval(), setTimeout()

不要将变量放入危险上下文，即使进行输出编码，也无法完全阻止 XSS 攻击。

HTML 清理¶

当用户需要编写 HTML 时，开发人员可能会允许用户在所见即所得编辑器中更改内容的样式或结构。在这种情况下，输出编码将阻止 XSS，但会破坏应用程序的预期功能。样式将无法渲染。在这种情况下，应使用 HTML 清理。

HTML 清理将从变量中去除危险的 HTML，并返回一个安全的 HTML 字符串。OWASP 推荐使用DOMPurify进行 HTML 清理。

let clean = DOMPurify.sanitize(dirty);

还有一些其他事项需要考虑：

如果您清理内容后又对其进行修改，您很容易就会使您的安全工作失效。

如果您清理内容后将其发送给某个库使用，请检查它是否以某种方式更改了该字符串。否则，同样地，您的安全努力也会失效。

您必须定期修补您使用的 DOMPurify 或其他 HTML 清理库。浏览器功能会不断变化，并且绕过方式也经常被发现。

安全接收点¶

安全专业人员通常使用源和接收点来讨论。如果你污染了一条河流，它会流向下游的某个地方。计算机安全也是如此。XSS 接收点是变量被放置到你的网页中的位置。

值得庆幸的是，许多可以放置变量的接收点是安全的。这是因为这些接收点将变量视为文本，并且永远不会执行它。尝试重构你的代码，移除对不安全接收点的引用，如 innerHTML，而是使用 textContent 或 value。

elem.textContent = dangerVariable;

elem.insertAdjacentText(dangerVariable);

elem.className = dangerVariable;

elem.setAttribute(safeName, dangerVariable);

formfield.value = dangerVariable;

document.createTextNode(dangerVariable);

document.createElement(dangerVariable);

elem.innerHTML = DOMPurify.sanitize(dangerVar);

安全的 HTML 属性包括：align, alink, alt, bgcolor, border, cellpadding, cellspacing, class, color, cols, colspan, coords, dir, face, height, hspace, ismap, lang, marginheight, marginwidth, multiple, nohref, noresize, noshade, nowrap, ref, rel, rev, rows, rowspan, scrolling, shape, span, summary, tabindex, title, usemap, valign, value, vlink, vspace, width。

对于未在此处列出的属性，请确保如果提供了 JavaScript 代码作为值，则不能执行它。

其他控制措施¶

框架安全保护、输出编码和 HTML 清理将为您的应用程序提供最佳保护。OWASP 在所有情况下都推荐这些措施。

除了上述措施外，请考虑采用以下控制措施。

Cookie 属性 - 这些属性改变了 JavaScript 和浏览器与 Cookie 的交互方式。Cookie 属性试图限制 XSS 攻击的影响，但不能阻止恶意内容的执行或解决漏洞的根本原因。

内容安全策略（CSP）- 一个阻止内容加载的允许列表。实现时很容易出错，因此不应将其作为主要的防御机制。将 CSP 作为额外的防御层，并查看此处的速查表。

Web 应用防火墙（WAFs）- 它们查找已知的攻击字符串并阻止它们。WAF 不可靠，新的绕过技术不断被发现。WAF 也无法解决 XSS 漏洞的根本原因。此外，WAF 还遗漏了一类完全在客户端运行的 XSS 漏洞。不建议使用 WAF 来阻止 XSS，尤其是基于 DOM 的 XSS。

XSS 预防规则摘要¶

这些 HTML 片段展示了如何在各种不同上下文中安全地渲染不可信数据。

数据类型：字符串 上下文：HTML 正文 代码：不可信数据 示例防御：HTML 实体编码（规则 #1）

数据类型：字符串 上下文：安全 HTML 属性 代码： 示例防御：激进的 HTML 实体编码（规则 #2），仅将不可信数据放入安全属性列表（如下所列），严格验证不安全属性如 background, ID 和 name。

数据类型：字符串 上下文：GET 参数 代码：点击我 示例防御：URL 编码（规则 #5）。

数据类型：字符串 上下文：SRC 或 HREF 属性中的不可信 URL 代码：点击我