XSS 防御方法
约 581 字大约 2 分钟
2025-11-02
XSS 防御方法
1. 对用户输入进行严格的过滤和验证
永远不要信任用户的任何输入
- 白名单过滤：只允许输入符合预定规则的字符。比如，如果一个输入框只用于输入姓名，那么只允许汉字、字母和空格通过
- 黑名单过滤：过滤掉危险的HTML标签和属性，如
<script>、<iframe>、<img>的onerror属性等。然而，这种方法容易被绕过，不推荐作为主要的防御手段。攻击者可以通过大小写混合、特殊编码或利用不常见的HTML标签来绕过黑名单
2. 对输出进行编码（转义）
这是防御 XSS 最有效、最关键的方法。当动态内容被渲染到页面时，必须对其中的特殊字符进行转义，使其失去代码的含义，而只作为纯文本显示
- HTML实体编码：将一些HTML特殊字符转换成HTML实体，例如：
<转换为<>转换为>"转换为"'转换为'
- 不同上下文的编码：转义需要根据输出的上下文来选择不同的编码方式。
- 在HTML元素中：使用 HTML 实体编码
- 在JavaScript代码中：使用 JavaScript 转义，将特殊字符转成
\uXXXX的形式 - 在URL参数中：使用 URL 编码，将特殊字符转成
%XX的形式
3. 使用HTTP响应头增强防御
通过配置 Web 服务器或应用程序的 HTTP 响应头，可以进一步增强对 XSS 的防御
- CSP (Content Security Policy)：这是一个强大的防御机制，它可以告诉浏览器哪些外部资源（脚本、样式、图片等）可以被加载。通过配置 CSP 策略，你可以：
- 限制脚本来源：只允许从可信域名加载 JavaScript 脚本，从而阻止外部恶意脚本的注入
- 限制内联脚本：禁止执行 HTML 中的内联脚本（
<script>...</script>），强制所有脚本都以文件的形式加载
- X-XSS-Protection：这是一个 HTTP 响应头，可以启用浏览器内置的 XSS 过滤器。虽然它不是一个完美的解决方案，但在一些旧版浏览器中仍然有一定作用