什么是跨站脚本攻击（XSS）？

跨站脚本攻击（Cross-Site Scripting，简称 XSS）是一种常见的 Web 安全漏洞，攻击者通过在网页中注入恶意脚本，使其在用户浏览器中执行，从而窃取敏感信息、劫持会话或进行其他恶意操作。尽管其英文缩写为 CSS 可能与层叠样式表混淆，因此业界普遍采用 XSS 来指代此类攻击。

XSS 攻击通常利用动态页面未对用户输入进行充分过滤的缺陷，将 JavaScript、HTML 标签或其他可执行代码插入到正常页面内容中。当其他用户访问该页面时，浏览器会将其视为合法内容并执行，导致安全风险。

历史上，Twitter、Facebook、新浪微博等多个大型平台都曾因 XSS 漏洞被攻击。据 OWASP（开放网页应用安全项目）统计，XSS 长期位列 Web 应用十大安全威胁前列，影响范围广泛。

XSS 的工作原理

HTML 页面通过特定字符（如 < 和 >）来识别标签结构。例如，<script> 表示脚本开始。如果服务器端未对用户提交的数据进行转义处理，而直接将其输出到页面中，攻击者便可构造类似 <script>alert('xss')</script> 的输入，使浏览器误认为这是页面的一部分并执行其中的脚本。

这种行为的根本原因在于：程序信任了不可信的用户输入，且未在输出前进行适当的编码或过滤。

XSS 的主要类型

• 存储型 XSS（持久型）：攻击者提交的恶意脚本被永久保存在目标服务器上（如数据库），每当其他用户访问相关页面时都会触发执行。例如在评论区插入脚本。
• 反射型 XSS（非持久型）：恶意脚本作为请求参数发送给服务器，服务器未加处理便将其原样返回给响应页面，导致脚本在用户浏览器中运行。通常通过诱导用户点击恶意链接实现。
• 基于 DOM 的 XSS：整个过程不涉及服务器响应内容的改变，而是由客户端 JavaScript 动态修改 DOM 结构时，未能正确处理用户可控数据，导致脚本执行。

常见攻击场景

• 窃取用户的 Cookie，尤其是包含会话标识的信息，进而冒充用户身份登录系统。
• 通过嵌入 Flash 或 iframe 执行更高权限的操作。
• 以用户身份自动发送消息、添加好友、转发内容等，形成蠕虫传播。
• 利用受信任域名发起 CSRF 请求，绕过同源策略限制。
• 在高流量页面植入脚本，发动分布式拒绝服务（DDoS）攻击。

防御策略

防范 XSS 的核心原则是"永不信任用户输入"，并在数据展示前进行适当处理。

1. 输入验证与输出编码

对所有用户提交的内容（包括表单字段、URL 参数、HTTP 头等）进行严格的格式校验，仅允许符合预期的数据通过。同时，在将数据输出至 HTML 页面时，必须使用上下文相关的编码方式：

• 在 HTML 正文中使用 HTML 实体编码（如 < 转为 <）。
• 在 JavaScript 中使用 Unicode 转义或 JSON 编码。
• 避免在属性值中插入未经处理的变量。

2. 使用安全的开发实践

• 优先使用 POST 方法提交敏感操作，减少 GET 请求暴露参数的风险。
• 启用 HTTP Only Cookie，防止 JavaScript 访问关键 Cookie。
• 结合 CSRF Token 和验证码机制，防止自动化攻击。
• 禁止加载远程不可信资源，特别是外部脚本和样式表。

3. 利用现代框架内置防护

现代 Web 框架（如 Django）默认提供 XSS 防护机制，能显著降低开发者的安全负担。

Django 如何应对 XSS 攻击

Django 在模板渲染层面提供了强大的自动转义功能，默认会对所有变量进行 HTML 转义，有效阻止大多数 XSS 攻击。

例如，假设有如下字符串来自用户输入：

raw_html = '<a href="/page?page=1">第一页</a>'

在 Django 模板中，默认情况下：

{{ raw_html }}

会被渲染为纯文本，不会解析成可点击的链接，从而避免潜在风险。

安全地渲染可信 HTML

若确实需要显示富文本内容（如后台管理发布的文章），Django 提供了两种方式标记内容为"安全"：

方法一：模板中使用 safe 过滤器

{{ raw_html|safe }}

表示该变量已通过验证，可作为原始 HTML 输出。

方法二：视图中使用 mark_safe

from django.utils.safestring import mark_safe

def my_view(request):
    content = '<p style="color:red;">这是一段安全内容</p>'
    safe_content = mark_safe(content)
    return render(request, 'page.html', {'content': safe_content})

⚠️ 注意：调用 mark_safe 或使用 |safe 前，必须确保内容已经过严格清洗（如使用 Bleach 等库过滤危险标签），否则会引入严重安全漏洞。

推荐做法：结合内容清洗库

建议使用第三方库（如 bleach）对用户输入的 HTML 进行净化：

import bleach

cleaned = bleach.clean(
    user_input,
    tags=['p', 'br', 'strong', 'em'],
    attributes={},
    strip=True  # 移除不合法标签而非转义
)

再将清洗后的内容交由 mark_safe 处理，实现既安全又灵活的内容展示。

总结

XSS 是危害极大的 Web 安全问题，但通过合理的输入验证、输出编码以及利用 Django 自带的防护机制，可以有效规避风险。开发者应始终保持警惕，仅在确认内容可信的前提下解除自动转义，杜绝盲目使用 safe 或 mark_safe 导致的安全隐患。