Golang防XSS攻击 输入输出过滤方法

comment := "<script>alert('XSS');</script>"

package main

import (
    "html/template"
    "os"
)

func main() {
    tmpl, err := template.New("example").Parse(`<h1>用户评论:</h1><p>{{.Comment}}</p>`)
    if err != nil {
        panic(err)
    }

    data := struct {
        Comment template.HTML // 如果确定是安全HTML，可以用template.HTML，但通常不建议
    }{
        Comment: template.HTML("<script>alert('XSS');</script>"), // 错误示范，这里会直接输出
    }
    // 正确的做法是直接让template包处理string类型
    dataSafe := struct {
        Comment string
    }{
        Comment: "<script>alert('XSS');</script>",
    }

    // 演示正确用法：html/template会自动转义string
    err = tmpl.Execute(os.Stdout, dataSafe)
    if err != nil {
        panic(err)
    }
    // 输出会是：<h1>用户评论:</h1><p><script>alert('XSS');</script></p>
}

<div>

escapeHtml()

escapeJs()

<i>

<iframe>

github.com/microcosm-cc/bluemonday

package main

import (
    "fmt"
    "html/template"
    "github.com/microcosm-cc/bluemonday"
)

func main() {
    // 用户提交的富文本内容，包含合法的b标签和恶意的script标签
    userInput := `Hello <b>World</b>! This is a <script>alert('XSS');</script> test.
    <a href="javascript:alert('evil')">Click Me</a>
    <img src="x" onerror="alert('image xss')">
    <p style="color:red;">Styled text</p>`

    // 创建一个默认的严格策略，只允许非常有限的安全HTML
    // p := bluemonday.StrictPolicy()

    // 创建一个更宽松的策略，允许常用的HTML标签和属性
    p := bluemonday.UGCPolicy() // UGC = User Generated Content，适合用户评论、博客等

    // 如果需要自定义策略，可以这样：
    // p := bluemonday.NewPolicy()
    // p.AllowElements("b", "i", "p", "a", "img")
    // p.AllowAttrs("href").OnElements("a")
    // p.AllowAttrs("src", "alt").OnElements("img")
    // p.AllowStandardURLs() // 允许a标签的href属性是标准URL

    // 对用户输入进行清理
    sanitizedHTML := p.Sanitize(userInput)

    fmt.Println("原始输入:")
    fmt.Println(userInput)
    fmt.Println("\n清理后的HTML:")
    fmt.Println(sanitizedHTML)

    // 注意：即使经过bluemonday清理，最终输出到HTML时，
    // 如果不是通过html/template的template.HTML类型，
    // 仍然需要确保上下文是安全的。
    // 但bluemonday的结果通常可以直接作为template.HTML使用，因为它保证了HTML的安全性。

    // 最终渲染到页面时，如果bluemonday已经保证了安全，可以使用template.HTML
    // 但如果只是string，html/template依然会转义
    // 所以，最安全的做法是：bluemonday处理 -> 结果作为template.HTML传递给html/template
    type PageData struct {
        Content template.HTML
    }
    tmpl, err := template.New("page").Parse(`<div>{{.Content}}</div>`)
    if err != nil {
        panic(err)
    }

    data := PageData{Content: template.HTML(sanitizedHTML)}
    fmt.Println("\n通过html/template渲染:")
    tmpl.Execute(os.Stdout, data)
    fmt.Println()
}

bluemonday.UGCPolicy()

script

javascript:

onerror