同一段输入放进HTML正文、属性、URL或脚本时，浏览器会按不同规则理解它。输出防护需要知道数据将进入哪里，不能把一个通用替换函数用于所有位置。
先确定输出上下文
把昵称显示为纯文字，与将它拼进脚本是不同操作。优先使用框架的安全模板和适合用途的DOM接口，减少自行拼接。框架自动转义的覆盖范围也需要确认，不能在使用原始HTML入口后仍假设保护存在。
允许富文本是另一类需求
如果业务允许有限格式，应采用合适的清理方案和明确的允许规则，而不是把所有标签直接放行。URL字段还需要检查协议和用途。CSP可作为补充，但不能替代正确的输出编码与内容处理。
用无害内容检查显示语义
在授权测试环境输入带引号、尖括号和与号的普通文字，确认它按预期显示而非改变结构。测试前写清应允许的格式，避免为了通过显示测试而直接关闭防护。本文不向生产站点注入脚本。
资料与继续学习
OWASP：XSS防护。资料查阅日期：2026年9月29日。步骤与练习由本站整理。
资料查阅与编辑日期：2026年9月29日。作者：玖柒。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
