当你在搜索框输入一段看似无害的代码，页面却弹出了恶意弹窗，或者你的会话Cookie被悄悄窃取——这就是XSS攻击的真实写照。XSS（跨站脚本）攻击原理并不复杂：攻击者将恶意脚本注入到网页中，当其他用户浏览该页面时，脚本在浏览器中执行，从而窃取数据或劫持会话。理解其原理是防护的第一步，而防护方法则需要从开发、部署到运维的层层设防。
XSS攻击原理：三类攻击的触发机制
XSS攻击的核心在于未经过滤的用户输入被当作代码执行。根据攻击脚本的存储和执行位置，XSS分为三类：
- 反射型XSS：恶意脚本通过URL参数或表单提交，服务器将其直接反射到响应页面中，不经过存储。例如，搜索页面将关键词原样输出，攻击者构造含脚本的链接诱导用户点击。
- 存储型XSS：恶意脚本被持久化存储在服务器端（如数据库、评论系统），当其他用户访问包含该内容的页面时，脚本被加载执行。这类攻击危害最大，因为无需用户点击特定链接。
- DOM型XSS：攻击脚本通过修改页面DOM结构来触发，不经过服务器。前端JavaScript直接使用用户输入更新DOM时，若未做安全处理，即可被利用。
无论哪种类型，根本原因都是“输入不可信”。攻击者利用的是应用程序对输入的信任，以及浏览器对HTML、JavaScript的解析规则。
防护方法一：输入验证——拒绝恶意载荷
输入验证是XSS防护的第一道防线。核心原则是“不信任任何用户输入”。具体操作：
- 白名单校验：对每个输入字段定义允许的字符集，例如用户名只允许字母数字和下划线，邮箱必须符合格式。拒绝不符合规则的数据。
- 长度限制：为输入设置合理的最大长度，防止超长脚本注入。
- 过滤危险字符：对
<script>、javascript:、on*事件属性等关键内容进行过滤或转义。
但要注意，输入验证并非万能。如果业务需求允许富文本（如评论中的图片链接），单纯过滤可能破坏功能，此时需要结合输出编码和CSP。
防护方法二：输出编码——让脚本变成普通文本
输出编码是防护XSS的关键环节。在将数据输出到HTML、属性、JavaScript、CSS等上下文时，必须进行相应的编码，使恶意代码无法被浏览器解释执行。例如：
- 在HTML标签之间，将
<编码为<，>编码为>。 - 在属性中，对引号和特殊字符进行实体编码。
- 在JavaScript字符串中，使用
uXXXX转义。
不同上下文需要不同的编码规则，使用成熟的安全库（如OWASP Java Encoder、ESAPI）可以避免手动编码的疏漏。
防护方法三：CSP——浏览器层面的最后防线
即使输入验证和输出编码出现遗漏，内容安全策略（CSP）仍能阻止恶意脚本执行。CSP通过HTTP响应头或meta标签声明允许的资源加载来源，例如：
Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.example.com上述策略仅允许从同源和指定CDN加载脚本，内联脚本和外部未知来源脚本都会被阻止。CSP还可以禁用eval()等危险函数，进一步降低风险。部署CSP时需仔细配置，避免破坏现有功能，建议先在报告模式下测试。
关于CSP的详细配置，可参考我们之前的文章《Web安全响应头配置指南：CSP与X-Frame-Options》。
防护方法四：HttpOnly与Secure标志——保护会话Cookie
XSS攻击常以窃取Cookie为目标。设置HttpOnly标志后，JavaScript无法通过document.cookie访问Cookie，即使XSS成功也无法直接窃取会话。同时设置Secure标志，确保Cookie仅通过HTTPS传输，防止中间人攻击。这虽然不是阻止XSS本身，但能显著降低攻击影响。
防护方法五：利用云安全机制——以Cloudflare为例
在部署层面，可以采用云服务商的防护功能。以Cloudflare为例，其缓存和DDoS防护虽不直接拦截XSS，但能缓解相关风险：
- 缓存机制：Cloudflare缓存静态资源，减少源站压力，但缓存动态页面可能存储恶意内容，需谨慎配置。根据Cloudflare官方文档，可以配置缓存规则，指定哪些资源缓存、缓存时长，并支持即时清除缓存，防止恶意页面长期存在（参考Cloudflare缓存文档）。
- WAF与DDoS防护：Cloudflare的DDoS防护系统自动检测并缓解网络层和应用层攻击，其WAF规则可以拦截部分XSS载荷（参考Cloudflare DDoS防护文档）。但WAF不能替代应用层防护，仅作为补充。
- Workers边缘防护：通过Cloudflare Workers可以在边缘节点过滤或修改请求和响应，实现自定义的输入验证和输出编码，例如在响应头中注入CSP。Workers是服务端无服务器平台，可快速部署安全逻辑（参考Cloudflare Workers文档）。
需要注意的是，云服务商的安全功能无法覆盖所有XSS场景，应用自身的代码安全仍是根本。
常见误区与失败条件
在实际防护中，开发者常犯以下错误：
- 过度依赖过滤：黑名单过滤容易绕过，例如大小写混合、编码变体。
- 忽略DOM型XSS：只关注服务端输出，却忽视了前端
innerHTML、document.write等危险API。 - CSP配置不当：使用
unsafe-inline或unsafe-eval会削弱CSP效果。 - 遗漏编码上下文：在URL、CSS等上下文未正确编码。
若这些环节出现疏漏，XSS攻击仍可能成功。因此，建议采用纵深防御策略，结合输入验证、输出编码、CSP、HttpOnly以及云安全机制，并定期进行安全测试。
参考资料
延伸阅读