12、前端安全：DOM XSS 与 CSRF 防护指南

最新推荐文章于 2025-12-01 19:38:17 发布

对方正在偷人346

最新推荐文章于 2025-12-01 19:38:17 发布

阅读量10

点赞数

CC 4.0 BY-SA版权

分类专栏：构建坚不可摧的Node.js应用文章标签： DOM XSS CSRF 前端安全

本文链接：https://blog.youkuaiyun.com/grpc6streamer/article/details/155131626

构建坚不可摧的Node.js应用专栏收录该内容

15 篇文章 ¥499.90

订阅专栏¥69.90

会员秒杀 ¥9.9 重磅福利

超级会员免费看

前端安全：DOM XSS 与 CSRF 防护指南

1. DOM XSS 输入清理

DOM - 基于的跨站脚本攻击（DOM - based XSS）是一种独特的攻击类型，需要专门的处理规则。若应用中大量使用 DOM 操作，就容易遭受 DOM XSS 攻击，建议使用针对特定上下文验证设计的 JavaScript 验证库，如 OWASP 的 ESAPI JavaScript 库。

处理 DOM XSS 输入清理可看作一个两步挑战：
1. 获取数据 ：将数据存入 JavaScript 变量，可在服务端构建脚本时进行 JavaScript 编码，也可将值作为 JSON 传输并使用 JSON.parse 解析，切勿使用 eval() 。
2. 使用数据 ：根据数据使用场景进行相应编码。插入 HTML 或 URL 上下文时需编码；插入属性或 CSS 上下文时一般不编码，但要避免危险属性。

以下是一个存在漏洞的示例代码：

<!DOCTYPE html>
<html>
<head lang="en">
<meta charset="UTF-8">
<title>My DOM XSS</title>
</head>
<body>
<div id="dynamic"></div>
<script>
// Step 1 - Get data
v