如何防止JavaScript中的客戶端DOM XSS漏洞？

Question

經過checkmarx掃描我的代碼後，我收到以下消息。

方法在... \ action \ searchFun.js的第23行執行，獲取表單元素的用戶輸入。

然後，此元素的值將在代碼中流動，而不會被正確清理或驗證，並最終會顯示給位於../action/searchFun.js第28行的用戶。這可能會導致DOM XSS攻擊。

有些人可以幫助我如何清理上述情況以滿足Checkmarx？ 腳本如下：

function searchAnnouncements(){ 
    $('#loadingAnnouncements').html('Loading...'); 
    var formData = $('form').serialize(); 

    jQuery.ajax({ 
    type: "post", 
    url: "bat.ajax", 
    data: formData, 
    cache: false, 
    dataType: "json", 
    cache: false, 
    success: function(json) { 
     $('div.block').unblock(); 
     $('#loadingAnnouncements').html(''); 
     if (json.resultSize > 0) 
     $('#searchResults').html(json.searchResult); 
    }); 
    }, 
} 

Answer 1

可以使用DOMPurify庫。 https://github.com/cure53/DOMPurify

這應該通過保持安全的HTML標記來阻止XSS注入。

function searchAnnouncements(){ 
    $('#loadingAnnouncements').html('Loading...'); 
    var formData = $('form').serialize(); 

    jQuery.ajax({ 
    type: "post", 
    url: "bat.ajax", 
    data: formData, 
    cache: false, 
    dataType: "json", 
    cache: false, 
    success: function(json) { 
     $('div.block').unblock(); 
     $('#loadingAnnouncements').html(''); 
     if (json.resultSize > 0) 
     $('#searchResults').html(DOMPurify.sanitize(json.searchResult)); 
    }); 
    }, 
}