跨站脚本攻击（Cross-site scripting, XSS）是一种常见的网络安全威胁，攻击者通过注入恶意脚本来获取用户的敏感信息或者控制用户的浏览器。在 Hapi 应用中，我们可以采取一些防御措施来减少 XSS 攻击的风险。
1. 输入验证
在接收用户输入时，我们需要进行输入验证，确保用户输入的数据符合我们的预期。可以通过 Hapi 的 Joi 插件来实现输入验证。下面是一个简单的例子：
-- -------------------- ---- -------
----- --- - ---------------
----- ------ - ------------
----- ------------
-----------
-------
--------
------------
------ ------------
-------- ------------------ -- ----- - ------ ------- ------ - --
---
----- ----- - - ----- ------- ------ ------------------ --
----- - ------ ----- - - -----------------------
-- ------- -
---------------------------
- ---- -
-------------------
-在上面的例子中，我们定义了一个包含 name 和 email 两个属性的对象，并使用 Joi 来验证这个对象是否符合我们的预期。如果输入验证失败，我们可以拒绝这个输入并返回错误信息。
2. 输出编码
在将数据输出到 HTML 页面时，我们需要对数据进行编码，确保用户输入的数据不会被误认为是 HTML 标签或者 JavaScript 代码。可以使用 Hapi 的 escapeHtml 函数来实现输出编码。下面是一个例子：
-- -------------------- ---- -------
----- ---- - ----------------
----- ------ - -------------
----- -----
----- -----------
---
--------------
------- ------
----- ----
-------- --------- -- -- -
----- ---- - ------------------ -- --------
----- ------- - ------- ---------------------------
------ ----------------------
-
---
----- ---------------
------------------- ------- -- ---- -----------------在上面的例子中，我们使用 escapeHtml 函数对用户输入的 name 参数进行编码，确保输出的 HTML 不会被误认为是 HTML 标签。
3. CSP
内容安全策略（Content Security Policy, CSP）是一种可以有效减少 XSS 攻击的技术。CSP 可以限制页面中可以执行的脚本，从而减少恶意脚本被执行的可能性。可以在 Hapi 应用中使用 hapi-csp 插件来实现 CSP。下面是一个例子：
-- -------------------- ---- -------
----- ---- - ----------------
----- ------- - --------------------
----- ------ - -------------
----- -----
----- -----------
---
-----------------
------- --------
-------- -
----------- -
----------- -----------
---------- ---------- -------------------
--------- ---------- -------------------
------- -----------
----------- -----------
-------- -----------
---------- -----------
--------- ----------
-
-
---
--------------
------- ------
----- ----
-------- --------- -- -- -
----- ---- - ------------------ -- --------
----- ------- - ------- ---------------------------
------ ----------------------
-
---
----- ---------------
------------------- ------- -- ---- -----------------在上面的例子中，我们使用 hapi-csp 插件来实现 CSP，并设置了一些 CSP 的指令。其中，defaultSrc 指定了默认的来源，scriptSrc 指定了可以执行的脚本来源，styleSrc 指定了可以使用的 CSS 样式来源，imgSrc 指定了可以使用的图片来源，connectSrc 指定了可以发起请求的来源，fontSrc 指定了可以使用的字体来源，objectSrc 指定了可以使用的插件来源，mediaSrc 指定了可以使用的媒体来源。
总结
在 Hapi 应用中，我们可以使用输入验证、输出编码和 CSP 等技术来减少 XSS 攻击的风险。输入验证可以确保用户输入的数据符合我们的预期，输出编码可以确保输出的 HTML 不会被误认为是 HTML 标签或者 JavaScript 代码，CSP 可以限制页面中可以执行的脚本，从而减少恶意脚本被执行的可能性。这些技术可以帮助我们构建更加安全的 Hapi 应用。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/65828dc1d2f5e1655dda84d8