安全开发生命周期
本话题发布安全开发生命周期相关的问答文章和技术分享，将持续更新，为您推荐了19篇问答，访问即可查看更多精彩内容。
-
1
回答
34浏览
安全需求阶段前端要做什么具体工作？
我们团队刚开始推行安全开发生命周期（SDL），现在卡在「安全需求」阶段。作为前端，除了常规的功能需求，到底要提哪些和安全相关的需求啊？比如是不是得要求后端接口必须带 CSRF token？还是说要明确...
-
1
回答
23浏览
IAST在前端项目中怎么实际集成和使用？
我们团队最近开始引入IAST做安全测试，但我作为前端开发有点懵——IAST不是主要针对后端的吗？我在本地跑 Vue 项目时，尝试按文档把 agent 接入，但根本不知道它能检测我哪些代码。 比如我写了...
-
1
回答
29浏览
IAST工具在React项目中怎么检测到XSS漏洞？
我们团队最近引入了IAST做安全测试，但我有点搞不清楚它在前端React项目里到底能检测到什么。比如下面这段代码，明显有XSS风险，但IAST扫描后没报任何问题，是我用法不对还是IAST本来就不擅长检...
-
1
回答
41浏览
前端安全测试该从哪入手？
我们团队最近开始搞安全开发生命周期，轮到我负责前端的安全测试。但我有点懵，不知道该测哪些点——XSS、CSRF 这些听说过，但具体怎么测？用什么工具？ 比如我试过在输入框里输 alert(1)，但页面...
-
2
回答
48浏览
前端如何安全地处理用户输入避免XSS攻击？
我在做一个评论功能，用户提交的内容直接用 innerHTML 插入到页面，结果被安全扫描工具报了 XSS 风险。我试过用 DOMPurify，但不确定是不是用对了，比如下面这样写安全吗？ const ...
-
1
回答
28浏览
前端项目中如何用SAST工具检测XSS漏洞？
最近在做安全开发生命周期的实践，想在CI里集成SAST工具自动扫描XSS问题。但试了几个工具（比如SonarQube、ESLint插件）都没能准确识别出我这段模板里的危险用法，是我写法太隐蔽还是配置不...
-
2
回答
34浏览
前端做威胁建模时，用户输入直接渲染到页面会不会有XSS风险？
我最近在学安全开发生命周期，尝试给一个简单的评论功能做威胁建模。我发现用户提交的评论内容会直接通过 innerHTML 插入到页面里，虽然现在只是本地测试，但总觉得这样不安全。我试过用 DOMPuri...
-
2
回答
41浏览
前端被XSS攻击了，应急响应该怎么做？
我们线上 Vue 项目突然收到用户反馈，页面里弹出了奇怪的 alert，怀疑是 XSS 攻击。我看了下代码，确实有个地方直接用了 v-html 渲染用户输入的内容，但之前没做任何过滤。现在想知道：一旦...
-
2
回答
42浏览
npm项目中如何快速修复依赖项的SCA高危漏洞？
我在做项目安全扫描时发现，用npm管理的依赖项中有三个高危漏洞，但直接运行npm update没效果。尝试过根据npm audit的建议手动升级具体包版本，但其中一个依赖被多个子模块同时引用，改到第三...
-
2
回答
66浏览
如何在威胁建模中识别前端API的注入攻击风险？
最近在做威胁建模时发现前端调用的API可能存在注入攻击风险，但不确定该怎么具体分析。比如用第三方富文本库上传图片时，后台返回的Markdown内容直接渲染到页面，虽然加了输入过滤，但测试时发现特殊字符...
-
2
回答
81浏览
Vue组件用了v-html被SAST标记XSS漏洞，但数据已经转义了该怎么办？
我在开发用户评论展示功能时，用Vue的v-html渲染经过sanitize-html过滤的内容，但SonarQube扫描还是报XSS风险。代码如下： import sanitizeHtml from ...
-
2
回答
55浏览
用户输入渲染到HTML时如何防止XSS攻击？我的表单代码可能有漏洞
我在做一个表单，用户输入的内容会直接显示在页面上，但测试时发现可以注入脚本。比如用户输入alert(1)就会执行。现在用handleInput处理输入，但不知道该怎么安全转义： <div>...
-
2
回答
87浏览
在SDL中如何防止表单提交时的XSS攻击？
我在用Vue做用户反馈表单时，按照SDL要求加了输入过滤，但测试时发现恶意脚本还是能执行... 表单代码是这样的： 提交 我在提交前用正则替换了<script>标签： userInput....
-
2
回答
63浏览
安全需求文档该怎么写才能防XSS漏洞？
我们在做用户评论功能时，测试发现XSS漏洞，但安全需求文档里只写了“过滤危险字符”，具体该怎么做才能有效防范呢？ 之前尝试用正则表达式过滤了<script>标签和特殊字符，但测试人员用Un...
-
2
回答
164浏览
修复XSS漏洞后怎么验证是否彻底解决了？
刚处理完前端页面的XSS漏洞，用两个不同工具测试结果却不一样，一个显示干净一个还能注入，这时候该怎么确认漏洞到底修好了没？ 之前在评论区输入，修复后用OWASP ZAP扫描没问题，但自己手动测试居然还...
-
2
回答
75浏览
React应用部署后CSP头阻止了内联脚本，但业务需要动态事件处理怎么办？
我在给React项目配置Content-Security-Policy时遇到了问题。按照安全规范设置了"script-src 'self'",但页面直接报错： Refused to execute i...
-
2
回答
55浏览
SAST扫描说我这个JS代码有注入漏洞，该怎么改？
我在写一个处理用户输入的函数，用字符串拼接SQL查询的时候，SAST工具突然报高危漏洞。代码看起来没问题啊，我明明用了双引号转义…… function buildQuery(input) { cons...
-
2
回答
79浏览
SAST扫描总报React组件XSS漏洞，但代码明明转义了怎么办？
最近给React项目配置了SAST工具，扫描时总提示组件存在XSS风险。代码里已经用dangerouslySetInnerHTML包裹了sanitization函数处理的数据，为什么还是报这个漏洞？ ...
-
2
回答
54浏览
为什么用了escape()后XSS过滤还是没效果？
最近在做用户评论功能，前端用escape()转义了输入内容，但测试时发现输入alert(1)依然能执行，这是怎么回事？我检查过代码确实调用了escape，但漏洞还是存在... 尝试过在服务端也做了过滤...
