前端项目做安全评估时该检查哪些地方？
最近公司要对我们的 React 项目做安全审计，但我作为前端不太清楚具体要查什么。XSS、CSRF 这些听说过，但不知道在代码里怎么找漏洞。
比如我们有用 dangerouslySetInnerHTML 的地方，是不是都要改？还有接口返回的数据直接渲染会不会有问题？试过用 DOMPurify 处理，但有些页面又出样式错乱……
有没有一套前端安全评估的 checklist 或者工具能自动扫描这类问题？
- 2
回答
33浏览
前端安全日志该记录哪些内容？怎么避免泄露敏感信息？
最近在做项目的安全审计，要求前端也要输出安全日志。但我有点懵，不知道该记什么——比如用户操作、接口调用这些能记吗？又怕不小心把 token 或用户隐私打到日志里，反而造成风险。 我试着加了个简单的样式...
- 1
回答
22浏览
安全需求阶段前端要做什么具体工作？
我们团队刚开始推行安全开发生命周期（SDL），现在卡在「安全需求」阶段。作为前端，除了常规的功能需求，到底要提哪些和安全相关的需求啊？比如是不是得要求后端接口必须带 CSRF token？还是说要明确...
- 2
回答
22浏览
白盒测试时如何检测前端代码中的XSS漏洞？
我在做项目的安全自查，听说白盒测试要查XSS，但不太清楚具体该看哪些地方。比如用户输入的内容在页面上展示时，是不是只要用了innerHTML就有风险？ 我试过用ESLint的security插件，但它...
- 1
回答
39浏览
前端做渗透测试时怎么测XSS漏洞？
我最近在学Web安全，想自己动手测下项目里的XSS漏洞。但作为前端，不太清楚具体该从哪下手，比如哪些输入点要重点检查？ 我在本地试过往表单里输alert(1)，但页面没弹窗，是被框架自动转义了吗？比如...
- 1
回答
23浏览
前端安全审计时如何防止XSS攻击？
最近在做项目的安全审计，发现有个地方可能有XSS漏洞。用户输入的内容直接插到页面里了，虽然用了innerText，但不确定是不是真的安全。 比如下面这段代码，把URL参数里的值直接显示出来，这样写会不...
- 2
回答
101浏览
前端项目里怎么用Fuzzing测试输入框的安全性？
我最近在学安全开发生命周期，看到Fuzzing能用来测输入漏洞，但不太清楚前端怎么实际用。比如一个用户注册页面的邮箱输入框，我想自动喂各种奇怪字符串看会不会出问题，该怎么做？ 试过手动复制一些payl...
- 1
回答
36浏览
前端安全测试该从哪入手？
我们团队最近开始搞安全开发生命周期，轮到我负责前端的安全测试。但我有点懵，不知道该测哪些点——XSS、CSRF 这些听说过，但具体怎么测？用什么工具？ 比如我试过在输入框里输 alert(1)，但页面...
- 2
回答
55浏览
前端安全审计中如何评估CSS注入风险？
最近在做项目安全自查，发现用户能自定义主题色，但担心CSS注入问题。我用了类似下面的写法，这样安全吗？ .user-theme { --primary-color: ${userInput}; bac...
- 2
回答
22浏览
安全需求阶段前端要做什么？
我们团队刚开始引入安全开发生命周期（SDL），现在卡在“安全需求”这一步。作为前端，我不太清楚自己该提哪些具体的安全需求，比如是不是所有用户输入都要过滤？还是说只要后端处理就行？ 我试过在表单提交前用...
- 2
回答
30浏览
前端项目里怎么集成SAST工具做代码扫描？
我们团队最近要落地安全开发生命周期，领导让在前端项目里加上SAST（静态应用安全测试）工具。但我试了几个，比如 ESLint 的 security 插件，还有 SonarQube，配置起来特别迷糊。 ...
首先 XSS 风险，你提到的
dangerouslySetInnerHTML确实要特别小心，尽量避免直接使用。如果非要这么干，确保输入数据是可信来源，并且经过严格过滤。接口返回的数据直接渲染确实有风险，建议对所有外部数据做校验和转义。DOMPurify 是个不错的选择，但样式问题的话，可以试试这样：把 DOMPurify 的配置项稍微调整下，比如允许一些必要的标签和属性。
CSRF 可能涉及后端更多，但前端可以通过设置
SameSite属性来增强安全性。至于工具，推荐用 SonarQube 或者 Snyk 这种，它们能自动扫描代码中的安全漏洞。不过工具只是辅助，最重要的还是自己要养成安全编码习惯。
简单列个 checklist：
检查所有的用户输入
确认第三方库的安全性
注意 cookie 设置
处理好错误信息不要泄露敏感内容
最后提醒一句，安全是个持续的过程，别指望一次审计就万事大吉了。慢慢来，逐步改进就好。