XSS 攻擊鏈路還原
攻擊者利用 Web 應用輸出未過濾的用戶輸入，注入惡意腳本。受害者點擊惡意鏈接/瀏覽被污染頁面 → 瀏覽器在信任域下執行腳本 → 竊取 Cookie、劫持會話、偽造交易。核心特徵：**攻擊目標是用戶瀏覽器，而非服務器本身。**
常見注入向量
- 反射型：URL 參數直接反射在頁面（郵件/社交媒體傳播惡意鏈接）。
- 存儲型：惡意腳本持久化存儲於數據庫（評論區、論壇、日志）。
- DOM 型：客戶端腳本動態修改 DOM 觸發。
防禦最佳實踐：分層纵深
- 輸入過濾/驗證：白名單校驗用戶輸入，拒絕非預期字符集。
- 輸出編碼（核心）：根據輸出上下文（HTML/JS/CSS/URL）進行實體編碼，徹底中和腳本活性。
- 內容安全策略 (CSP)：禁用內聯腳本、限制腳本來源域，瀏覽器級強制約束。
- HttpOnly + Secure Cookie：阻斷腳本訪問敏感 Cookie。
- 現代框架自動轉義：React/Vue/Angular 等模板引擎默認轉義，降低人為疏漏。
從 SDL 根治：安全左移
- 威脅建模：識別資產、數據流、信任邊界，評估 XSS 風險等級，指導防護投入。
- 安全編碼規範 + 代碼審計 + 自動化掃描 (SAST/DAST/IAST)：缺陷發現成本：開發期 1x → 測試期 10x → 生產期 100x。
- 安全意識培訓：開發/測試/運營全角色覆蓋。
唯有將安全融入開發生命周期，才能在快速迭代中保持應用免疫力。