防 XSS 攻击

最新推荐文章于 2025-04-06 09:00:00 发布

Why_so_serious_Y

最新推荐文章于 2025-04-06 09:00:00 发布

阅读量461

点赞数

文章标签： xss 前端

本文链接：https://blog.youkuaiyun.com/Wy_so_serious/article/details/121941093

版权

由于后端有可能返回给前端的数据是带标签的格式的，此时我们就需要使用

<div dangerouslySetInnerHTML={{___html:content}} />

将标签都去掉，但是伴随着就会出现一个问题，那就是会受到XSS攻击

XSS攻击

人们经常将跨站脚本攻击（Cross Site Scripting）缩写为CSS，但这会与层叠样式表（Cascading Style Sheets，CSS）的缩写混淆。因此，有人将跨站脚本攻击缩写为XSS。

XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java、 VBScript、ActiveX、 Flash 或者甚至是普通的HTML。攻击成功后，攻击者可能得到包括但不限于更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容

XSS示例

import hljs from 'highlight.js'
import 'highlight.js/styles/vs2015.css'
import { useEffect } from 'react'
export default function Question () {
  useEffect(() => {
    // 配置 highlight.js
    hljs.configure({
      // 忽略未经转义的 HTML 字符
      ignoreUnescapedHTML: true
    })
    // 获取到内容中所有的code标签
    const codes = document.querySelectorAll('.dg-html pre code')
    codes.forEach((el) => {
      // 让code进行高亮
      hljs.highlightElement(el as HTMLElement)
    })
  }, [])
  const content = `
  <pre>
    <code>console.log(abc)</code>
    <code>console.log(abc)</code>
  </pre>
  <h3>nihoa</h3>
  <pre>
     <code>console.log(abc);xxx.forEach(item=>{console.log(1)})</code>
  </pre>`

  return (
    <div className="dg-html">
      Question
      <div dangerouslySetInnerHTML={{ __html: content }} />
    </div>
  )
}

实现思路

使用 dompurify 对 HTML 内容进行净化处理

操作步骤

安装包

npm i dompurify @types/dompurify -D

在页面中调用 dompurify 来对文章正文内容做净化：

import DOMPurify from 'dompurify'

<div
  className="content-html dg-html"
  dangerouslySetInnerHTML={{ __html: DOMPurify.sanitize(info.content || '') }}
  >
</div>