AppScan扫出XSS漏洞但前端已转义，怎么办？
我们前端用React开发，所有用户输入都通过JSX自动转义了，比如{userInput}这种写法。但AppScan还是报反射型XSS漏洞，说在URL参数里注入脚本能触发。我本地测试根本复现不了，是不是工具误报？
尝试过在URL加?test=alert(1)，页面确实没执行，只显示成文本。但AppScan报告里截图显示弹窗了，这到底啥情况？
- 2
回答
297浏览
AppScan扫描后提示‘XSS漏洞’，但代码里用了转义，怎么解决？
我在用AppScan扫描Vue项目时，发现一个XSS漏洞指向这个组件： <div v-html="renderContent"></div> 代码里已经对接口返回的数据做了HT...
- 1
回答
28浏览
前端做渗透测试时怎么测XSS漏洞？
我最近在学Web安全，想自己动手测下项目里的XSS漏洞。但作为前端，不太清楚具体该从哪下手，比如哪些输入点要重点检查？ 我在本地试过往表单里输alert(1)，但页面没弹窗，是被框架自动转义了吗？比如...
- 1
回答
41浏览
Nessus扫描显示React组件存在XSS漏洞，但代码已经过滤输入了怎么办？
大家好，我在用Nessus扫描公司前端项目时，发现一个React组件被标记为XSS漏洞。但代码明明已经用了DOMPurify过滤输入，这是怎么回事？ 我的代码是这样的： import DOMPurif...
- 2
回答
26浏览
Acunetix扫出JS里的XSS风险，但我这代码真有问题吗？
最近用 Acunetix 扫我们前端项目，报了个“Reflected XSS”高危漏洞，定位到一段动态拼接 URL 的 JS 代码。我看了半天觉得只是普通跳转，没往 DOM 里插内容啊，怎么就成 XS...
- 2
回答
30浏览
前端漏洞扫描工具报XSS风险，但我用了DOMPurify啊？
最近用公司内部的漏洞扫描工具扫了下项目，结果提示有个输入框存在XSS风险。可我明明已经用 DOMPurify 对用户输入做了清洗，不知道问题出在哪。 我的代码大概是这样： <div id="us...
- 2
回答
159浏览
修复XSS漏洞后怎么验证是否彻底解决了？
刚处理完前端页面的XSS漏洞，用两个不同工具测试结果却不一样，一个显示干净一个还能注入，这时候该怎么确认漏洞到底修好了没？ 之前在评论区输入，修复后用OWASP ZAP扫描没问题，但自己手动测试居然还...
- 2
回答
74浏览
SAST扫描总报React组件XSS漏洞，但代码明明转义了怎么办？
最近给React项目配置了SAST工具，扫描时总提示组件存在XSS风险。代码里已经用dangerouslySetInnerHTML包裹了sanitization函数处理的数据，为什么还是报这个漏洞？ ...
- 1
回答
11浏览
前端如何在Vue项目中安全地处理用户输入以防止XSS攻击？
我在做DevSecOps集成时，安全扫描工具报了一个高危XSS漏洞，说用户输入直接渲染到页面上了。我试过用v-text，但有些地方必须用v-html展示富文本，结果就被扫出问题了。 比如下面这段代码，...
- 1
回答
12浏览
白盒测试时如何检测前端代码中的XSS漏洞？
我在做项目的安全自查，听说白盒测试要查XSS，但不太清楚具体该看哪些地方。比如用户输入的内容在页面上展示时，是不是只要用了innerHTML就有风险？ 我试过用ESLint的security插件，但它...
- 1
回答
24浏览
前端做漏洞扫描时怎么处理XSS误报？
我们用 OWASP ZAP 扫描项目，结果报了一堆 XSS 风险，但很多其实是安全的。比如有个搜索框输入 <script> 后页面确实会显示出来，但我们已经用 DOMPurify 处理过了...
