编辑“︁JavaScript安全审计”︁（章节）

=== 案例1：Express应用中的XSS漏洞 ===
以下是一个存在XSS漏洞的Express应用示例：
<syntaxhighlight lang="javascript">
const express = require('express');
const app = express();

app.get('/search', (req, res) => {
    res.send(`<h1>搜索结果: ${req.query.term}</h1>`); // 危险：未对用户输入编码
});

app.listen(3000);
</syntaxhighlight>
'''攻击方式'''：攻击者可构造URL：<code>http://example.com/search?term=<script>alert('XSS')</script></code>

'''修复方案'''：使用模板引擎（如EJS）自动编码：
<syntaxhighlight lang="javascript">
const ejs = require('ejs');
app.set('view engine', 'ejs');

app.get('/search', (req, res) => {
    res.render('search', { term: req.query.term }); // EJS会自动编码
});
</syntaxhighlight>