XSS攻击如何防御？

本文目录导读：

1. 核心原则：永远不要信任用户的输入
2. 输出编码（最关键的防线）
3. 输入验证（白名单优于黑名单）
4. 内容安全策略（Content Security Policy, CSP）
5. 使用安全的框架与API
6. 设置HttpOnly和Secure Cookie标记
7. 其他辅助措施
8. 总结防御策略（按优先级顺序）

XSS（跨站脚本攻击，Cross-Site Scripting）是一种常见的Web安全漏洞，攻击者通过将恶意脚本注入到网页中，当其他用户浏览该页面时，脚本会在用户的浏览器中执行，从而窃取信息、篡改页面或进行其他恶意操作。

防御XSS攻击需要从输入、输出、上下文以及浏览器安全策略等多个层面进行综合治理，以下是核心防御措施：

核心原则：永远不要信任用户的输入

这是所有防御措施的基础,任何来自用户、第三方API、数据库、甚至HTTP头部（如User-Agent）的数据，都应被视为不可信的。

输出编码（最关键的防线）

这是最有效、最根本的防御手段，根据数据输出的上下文（HTML标签内、属性内、JavaScript中、CSS中或URL中），使用不同的编码方式，将特殊字符转义为无害的实体。

• HTML上下文（在<div>、<p>等标签内）：编码 <、>、&、、。
  • <script> 编码为 <script>
• HTML属性上下文（在<img src="...">等属性值中）：除编码上述字符外，还需注意空格、等号等。
• JavaScript上下文（在<script>标签内或事件处理器中）：对字符进行Unicode转义。
  • 编码为 \x27 或 \u0027
• URL上下文（在<a href="...">等链接中）：使用 encodeURI() 或 encodeURIComponent()。
• CSS上下文（在style属性或<style>标签中）：通常不建议将用户输入直接放入CSS，如需放入需进行严格过滤。

最佳实践：优先使用成熟的模板引擎（如React的JSX自动转义、Vue的模板语法、Thymeleaf、Jinja2等）或安全库（如OWASP Java Encoder、ESAPI），它们会自动执行上下文相关的编码。

输入验证（白名单优于黑名单）

在接收用户输入时,进行严格的验证，只允许符合预期的数据通过。

• 白名单验证：明确允许的字符、类型、长度和格式，只允许数字的字段，就拒绝任何字母和符号。
• 黑名单验证：虽然比较方便，但容易遗漏绕过方法（如使用大小写、Unicode编码、标签嵌套等）。不推荐作为主要手段。
• 类型校验：确保输入的是期望的类型（整数、浮点数、邮箱格式、URL格式等）。

内容安全策略（Content Security Policy, CSP）

CSP是一个浏览器安全标准,通过HTTP响应头（Content-Security-Policy）或<meta>标签，告诉浏览器可以加载和执行哪些来源的资源。

• 核心作用：即使攻击者成功注入了脚本，如果该脚本的来源不在CSP白名单中，浏览器也不会执行它。
• 配置示例：

  Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted-cdn.com; object-src 'none'

  • default-src 'self'：默认只允许同源资源。
  • script-src 'self' https://trusted-cdn.com：只允许执行来自本域和特定CDN的脚本。
  • object-src 'none'：禁止Flash等插件。
• 报告模式：可以先使用 Content-Security-Policy-Report-Only 头测试策略，收集误报并进行调整，再正式启用。

使用安全的框架与API

• 现代前端框架：React、Vue、Angular等主流框架在模板渲染中默认对HTML进行了转义，但在使用 v-html (Vue)、dangerouslySetInnerHTML (React) 或通过innerHTML直接操作DOM时，必须格外小心。
• 后端模板引擎：不要使用未进行自动转义的API（如某些语言的 echo $userInput）来输出用户数据，使用内置或第三方的安全转义函数。
• 避免危险的API：在JavaScript中，尽量避免使用 eval()、document.write()、innerHTML、outerHTML 等直接解析或插入HTML字符串的方法，如果必须使用，请确保数据已经过严格过滤。

设置HttpOnly和Secure Cookie标记

• HttpOnly：在服务器设置Cookie时，添加HttpOnly标记，这使得JavaScript脚本无法通过document.cookie读取该Cookie，能有效防御攻击者窃取Session ID（会话标识符）等敏感信息。
• Secure：确保Cookie只在HTTPS连接中传输，防止中间人攻击窃取Cookie。

其他辅助措施

• 使用X-XSS-Protection头部：虽然现代浏览器已逐渐废弃该头部（转而依赖CSP），但在旧版浏览器中，X-XSS-Protection: 1; mode=block 可以启用浏览器的内置XSS过滤器。
• 框架提供的安全机制：在PHP框架Laravel中，Blade模板引擎默认对{{ $var }}进行转义；在Java中，JSTL的<c:out>标签可以自动转义。
• 定期代码审计与安全测试：使用静态分析工具（如ESLint安全规则、SonarQube）和动态扫描工具（如OWASP ZAP、Burp Suite）发现潜在漏洞。

总结防御策略（按优先级顺序）

1. 输出编码：所有用户数据在输出到HTML、JavaScript、CSS、URL等上下文时，必须进行正确的上下文相关编码，这是第一道、也是最重要的防线。
2. 输入验证：限制用户输入的类型、长度、字符集，采用严格的白名单机制。
3. 内容安全策略：部署CSP作为深度防御，即使前两道防线被突破，CSP也能阻止恶意脚本执行。
4. 使用安全框架：使用现代模板引擎和前后端框架，利用它们内置的安全机制。
5. HttpOnly Cookie：保护敏感会话数据不被脚本窃取。

没有单一的方法能100%防御所有XSS攻击，最佳实践是组合使用以上多重防御措施，形成纵深防御体系。