xss-prevention

XSS 防护

目录

• 概述
• 适用场景
• 快速开始
• 参考指南
• 最佳实践

概述

通过输入净化、输出编码、CSP 标头和安全编码实践，全面防范跨站脚本攻击（XSS）。

适用场景

• 显示用户生成的内容
• 富文本编辑器
• 评论系统
• 搜索功能
• 动态生成 HTML
• 模板渲染

快速开始

最简可运行示例：

// xss-prevention.js
const createDOMPurify = require("dompurify");
const { JSDOM } = require("jsdom");
const he = require("he");

const window = new JSDOM("").window;
const DOMPurify = createDOMPurify(window);

class XSSPrevention {
  /**
   * HTML Entity Encoding - Safest for text content
   */
  static encodeHTML(str) {
    return he.encode(str, {
      useNamedReferences: true,
      encodeEverything: false,
    });
  }

  /**
   * Sanitize HTML - For rich content
   */
  static sanitizeHTML(dirty) {
    const config = {
      ALLOWED_TAGS: [
// ... (see reference guides for full implementation)

参考指南

references/ 目录中的详细实现：

指南	内容
Node.js XSS 防护	Node.js XSS 防护
Python XSS 防护	Python XSS 防护
React XSS 防护	React XSS 防护
内容安全策略	内容安全策略

最佳实践

✅ 应该做

• 默认对输出进行编码
• 使用模板引擎
• 实施 CSP 标头
• 净化富文本内容
• 验证 URL
• 使用 HTTPOnly Cookie
• 定期进行安全测试
• 使用安全框架

❌ 不应该做

• 信任用户输入
• 直接使用 innerHTML
• 跳过输出编码
• 允许内联脚本
• 使用 eval()
• 混用上下文（HTML/JS）