DOM型XSS

DOM型XSS

通过操作文档对象模型（DOM）实现攻击。DOM型的XSS不依赖于服务器的响应，而是完全在客户端的浏览器中进行，利用js在网页中动态修改内容。

工作原理：

1. 恶意输入： 攻击者首先构造一个包含恶意 JavaScript 代码的 URL 或通过其他方式（如参数传递）将其注入到网页中。这个输入可以是 URL 的查询参数、哈希值等。
2. 客户端执行： 当用户访问这个含有恶意代码的 URL 时，网页的 js 代码会根据传入的参数直接操作 DOM。
3. 执行恶意代码：如果网页没有对用户输入进行适当的验证和编码，攻击者的 JavaScript 代码将会被执行，从而导致安全漏洞。

防护措施

1. 输入验证： 确保对用户输入进行严格验证，限制允许的字符和格式。
2. 输出编码： 将用户输入插入到DOM中之前，进行适当html编码。
3. 使用安全的DOM操作方法： 尽量使用textContent或setAttribute等方法，而不直接使用innnerHtml,以防止直接插入HTML标签。
4. 内容安全策略