XSS攻防实战：从基础防御到高级绕过技术

1. XSS攻防对抗的本质解析

在Web安全领域，XSS（跨站脚本攻击）就像一场永不落幕的猫鼠游戏。我处理过上百起XSS相关安全事件，发现攻击者与防御者的技术迭代呈现出明显的螺旋上升态势。现代XSS攻击早已不再是最初那种简单的<script>alert(1)</script>弹窗把戏，而是演变为包含社会工程学、浏览器特性利用、编码混淆等复合技术的攻击链。

最近三年出现的新型XSS攻击中，有67%会结合钓鱼攻击获取敏感信息，其中键盘记录占比高达41%（数据来源：某安全厂商内部报告）。攻击者会精心构造看起来完全无害的DOM结构，利用SVG、Canvas甚至WebAssembly等现代Web技术绕过传统防御机制。比如去年曝光的某个漏洞，攻击者通过<img src=x onerror=stealCookie()>这类基础payload就能突破三重过滤防护。

2. 防御体系构建实战

2.1 输入输出双重过滤方案

我在金融行业实施的安全方案中，采用分层过滤策略效果显著。首先在输入层使用白名单+正则表达式组合过滤：

javascript复制function sanitizeInput(input) {
  const whitelist = /^[a-zA-Z0-9\u4e00-\u9fa5\s\-_,.]+$/;
  if (!whitelist.test(input)) {
    return input.replace(/[<>"'&]/g, ''); // 黑名单兜底
  }
  return input;
}

输出层则必须根据上下文采用不同编码：

• HTML实体编码：& -> &
• JavaScript Unicode转义：" -> \u0022
• CSS十六进制编码：expression -> expr\65ssion

关键经验：永远不要相信前端验证，服务端必须做二次校验。曾有个案例攻击者直接修改POST数据绕过前端过滤，导致上万用户信息泄露。

2.2 CSP策略深度配置

Content Security Policy是现代防御体系的基石。这是我为电商网站设计的CSP策略：

code复制Content-Security-Policy: 
  default-src 'se