编辑“︁XSS防护（跨站脚本攻击防护）”︁（章节）

== 防护技术 ==

=== 1. 输入验证与过滤 ===
对所有用户输入进行严格验证，移除或转义危险字符。

'''示例：基本过滤函数'''
<syntaxhighlight lang="javascript">
function sanitizeInput(input) {
    return input.replace(/</g, "&lt;")
                .replace(/>/g, "&gt;")
                .replace(/"/g, "&quot;")
                .replace(/'/g, "&#39;");
}
</syntaxhighlight>

'''输入/输出示例：'''
* 输入：<code><script>alert('XSS')</script></code>
* 输出：<code>&lt;script&gt;alert(&#39;XSS&#39;)&lt;/script&gt;</code>

=== 2. 输出编码 ===
在将数据输出到HTML前进行编码，确保浏览器将其视为数据而非代码。

'''上下文相关编码：'''
{| class="wikitable"
|-
! 输出上下文 !! 编码方式 !! 示例
|-
| HTML内容 || HTML实体编码 || <code>&amp;lt;</code> → <code>&lt;</code>
|-
| HTML属性 || HTML属性编码 || <code>"</code> → <code>&quot;</code>
|-
| JavaScript || JavaScript编码 || <code>'</code> → <code>\x27</code>
|-
| URL || URL编码 || <code>&</code> → <code>%26</code>
|}

=== 3. 使用CSP（内容安全策略） ===
CSP是强大的防护机制，通过HTTP头指定允许加载的资源来源。

'''基本CSP示例：'''
<syntaxhighlight lang="html">
Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted.cdn.com
</syntaxhighlight>

=== 4. 设置HttpOnly和Secure Cookie标志 ===
防止通过JavaScript访问敏感Cookie：
<syntaxhighlight lang="javascript">
Set-Cookie: sessionid=12345; HttpOnly; Secure
</syntaxhighlight>