随着前端技术的不断发展，XSS 攻击也越来越常见。XSS 攻击是指攻击者注入恶意代码到网站中的操作，当其他用户访问该网站时，恶意代码就会执行，进而导致各种危害，例如窃取用户的敏感信息、篡改用户数据等。Express.js 作为 Node.js 中广泛使用的框架，也需要在开发过程中防范 XSS 攻击的风险。本文将介绍 Express.js 中的 XSS 攻击及其防范方法，帮助你更好地保护你的 Web 应用。
XSS 攻击的原理
XSS 攻击是源于 Web 应用中的一个漏洞，即未对用户输入的数据进行过滤或转义。比如一个表单中的输入框，如果用户输入了 <script>alert('XSS')</script> 这样的代码，而这段代码又被直接渲染到页面中，那么其他用户访问这个页面时就会弹出一个 XSS 的提示框。这个漏洞有点类似 SQL 注入，只不过是挂在到前端界面上，所以防范 XSS 攻击同样需要进行数据过滤和转义。
防范 XSS 攻击的方法
下面介绍一些常见的防范 XSS 攻击的方法。
1. 转义用户输入的数据
在 Express.js 中渲染页面时，可以使用一些模板引擎来将数据转义为 HTML 实体或字符引用，从而避免恶意代码的注入。比如使用 EJS 模板引擎时，可以使用 <%- %> 代替 <%= %>，这样可以将数据进行 HTML 实体编码，避免特殊字符被识别为代码。示例代码如下：
<!-- 原始的 <%= %> --> <p>Name: <%= name %></p> <!-- 转义后的 <%- %> --> <p>Name: <%- name %></p>
除了 HTML 实体编码，还可以使用一些第三方库进行转义，如 htmlspecialchars、validator.js 等。这些库可以广泛应用于数据输入的校验和转义，从而更好地保护应用程序。
2. 设置 HttpOnly 和 Secure 属性
除了对用户输入的数据进行过滤和转义，还可以使用 HttpOnly 和 Secure 属性来加强防范 XSS 攻击的效果。HttpOnly 属性可以防止恶意脚本通过 document.cookie 等方式获取到用户的 cookie，从而避免恶意代码模拟用户登录并进行危害。Secure 属性则是保证 cookie 只能通过 HTTPS 协议传输，避免被恶意注入信息的篡改，然后被重新传输到应用程序。示例代码如下：
app.use(cookieParser())
app.get('/', function(req, res) {
res.cookie('name', 'express', { httpOnly: true, secure: true })
res.render('index', { title: 'Express' })
})3. 防止内联脚本的执行
还可以通过 Content-Security-Policy 来限制内联脚本的执行。默认情况下，当一个 script 标签的 type 属性值为 text/javascript 时，该标签内部的 JavaScript 代码就会被浏览器执行。而 Content-Security-Policy 属性可以用来限制这种行为，从而避免内联脚本的 URL 被注入恶意代码。示例代码如下：
app.use(function(req, res, next) {
res.setHeader('Content-Security-Policy', "script-src 'self'")
next()
})
app.get('/', function(req, res) {
res.render('index', { title: 'Express' })
})这里使用了 “script-src 'self'”，表示只能执行来自相同来源（'self'）的脚本。如果还需要允许其他来源的脚本，可以使用其他配置项来实现。例如，“script-src 'self' www.google-analytics.com” 表示只允许 'self' 和 www.google-analytics.com 的脚本被执行。
总结
XSS 攻击是一个常见的 Web 安全漏洞，在开发过程中需要加强对用户输入数据的过滤和转义，同时加强对 cookie 的保护。本文介绍了几种防范 XSS 攻击的方法，例如通过模板引擎来对用户输入数据进行过滤和转义，设置 HttpOnly 和 Secure 属性以保护 cookie，以及使用 Content-Security-Policy 属性来防止内联脚本的执行。希望这些方法能够帮助你更好地防范 XSS 攻击带来的风险。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/64eccbd8f6b2d6eab37129b8