XSS、模板与前端内容安全
Web 安全与XSS、CSRF、SQL 注入与权限安全#Python全栈#第十八阶段#Web 安全与XSS、CSRF、SQL 注入与权限安全#XSS、模板与前端内容安全约 971 字 · 3 分钟阅读
追问显示点击任意追问卡片可收起 / 展开
XSS 的核心成因是什么，反射型、存储型与 DOM 型怎样区分？
追问 搜索词回显、题目解析保存和 URL 参数写入页面分别可能在哪一步出错？“数据库保存过”为什么不代表内容可信？
为什么 HTML 文本、属性、JavaScript 和 URL 上下文需要不同处理？
追问 同一个昵称出现在正文、链接属性与脚本数据中，防护有什么不同？为什么统一调用一次 HTML 转义不能覆盖所有位置？
服务端模板自动转义怎样工作，safe 或关闭转义会带来什么风险？
追问 题目正文是否应该被直接标记为可信？属性缺少引号、脚本内插值和不可信链接还需要检查什么？
textContent 与 innerHTML 在展示用户内容时有什么区别？
追问 普通评论为什么应优先作为文本展示？Vue 的 v-html、React 的 dangerouslySetInnerHTML 等直接 HTML 入口怎样审查？
题目解析需要富文本时，编码与 HTML 清洗怎样选择？
追问 怎样明确允许的标签、属性和链接协议？清洗后再次拼接或修改内容会有什么影响，清洗库升级怎样安排回归？
Markdown 转换为 HTML 后，为什么仍需要检查内容安全？
追问 原始 HTML、链接、图片和插件扩展怎样处理？服务端预览与正式页面是否使用相同的渲染、清洗和输出规则？
从 URL、浏览器存储或 postMessage 读取的数据怎样安全进入页面？
追问 如何追踪数据源到 DOM 写入位置？接收跨窗口消息时怎样校验来源和结构，为什么不能因为数据来自本站页面就直接执行？
Content Security Policy 能限制什么，为什么不能替代正确编码与清洗？
追问 script-src、nonce 或 hash 怎样帮助控制脚本？宽泛来源和 unsafe-inline 怎样影响效果，Report-Only 与实际执行策略有什么区别？
HttpOnly Cookie 可以限制什么，为什么 XSS 仍可能造成账号操作风险？
追问 脚本无法读取 Cookie 后，是否仍能在页面身份下发起请求？怎样分别考虑凭据读取、页面数据读取与业务操作？
怎样证明 XSS 修复有效，同时没有破坏正常题目内容？
追问 应覆盖哪些渲染上下文、富文本允许项与异常输入？怎样在浏览器中检查 DOM、脚本执行与回归结果，不能只检查数据库字符串的原因是什么？
XSS 核对资料： OWASP：Cross Site Scripting Prevention。