考察点分析

本题主要考核候选人的Web安全防御体系设计能力，涉及三个核心维度：

  1. XSS攻击类型辨析：区分反射型、存储型、DOM型XSS的攻击原理与威胁场景
  2. CSP策略机制：理解内容安全策略的白名单控制原理及部署方式
  3. 纵深防御思维：掌握输入过滤与输出编码的协同防御模式及其互补关系

具体技术评估点包括：

  • XSS三类型攻击载荷的存储位置与触发方式差异
  • CSP指令集对脚本加载源的限制机制（script-src/unsafe-inline控制）
  • 不同上下文环境（HTML/JS/CSS）的输出编码策略选择
  • CSP nonce/hash在安全执行内联脚本中的应用
  • 防御方案如何兼顾功能可用性与安全性

技术解析

关键知识点

CSP白名单 > XSS类型差异 > 输出编码策略 > 输入验证

原理剖析

XSS类型本质差异：

  • 反射型XSS：恶意脚本通过URL参数注入，服务端未过滤直接返回页面
  • 存储型XSS：攻击载荷持久化存储于服务器（如评论系统），页面渲染时触发
  • DOM型XSS：完全客户端执行，通过修改DOM树触发（如location.hash）

CSP白名单机制：

  # Nginx配置示例
Content-Security-Policy: 
  default-src 'self';
  script-src 'self' https://trusted.cdn.com;
  style-src 'none';
  object-src 'none';
  report-uri /csp-report;
  • script-src限制脚本加载源，禁用unsafe-inline可阻止内联脚本
  • 通过nonce-{随机值}或sha256-{哈希值}允许特定内联脚本
  • 违规行为通过report-uri上报监控系统

联合防御方案：

  1. 输入过滤：服务端对用户输入进行合法性校验（如正则过滤<>’“等危险字符）
  2. 输出编码：根据输出位置采用不同编码策略（HTML实体编码、JavaScript Unicode转义）
  3. CSP兜底：防止前两层防御失效时的脚本执行

常见误区

  • 仅依赖输入过滤而忽略输出编码（无法防御编码绕过场景）
  • 错误配置default-src 'self'却未限制object-src导致插件漏洞
  • 未处理JSONP端点导致CSP白名单被绕过

问题解答

三种XSS的核心差异在于攻击载荷的存储位置与触发方式：

  • 反射型通过URL参数注入，非持久化，需要诱导点击
  • 存储型将恶意代码保存在服务端，持续影响所有访问者
  • DOM型完全在客户端解析执行，不经过服务端

CSP通过白名单机制控制资源加载：

  1. 设置HTTP响应头的Content-Security-Policy字段
  2. 使用script-src指令限制脚本来源，禁止内联脚本（除非使用nonce或hash）
  3. 通过connect-src限制AJAX请求源，防止数据泄露

联合防御方案需多层级配合：

  // 输出编码示例（Node.js）
function htmlEncode(str) {
  return str.replace(/[&<>"']/g, 
    match => `&#${match.charCodeAt(0)};`);
}

// 输入过滤示例（Express中间件）
app.use((req, res, next) => {
  Object.keys(req.body).forEach(key => {
    req.body[key] = req.body[key].replace(/[<>]/g, '');
  });
  next();
});

解决方案

编码示例 

  <!-- CSP启用nonce的内联脚本 -->
<script nonce="rAnd0m123">
  // 安全的内联脚本逻辑
</script>

<!-- 安全输出编码 -->
<div><%= htmlEncode(userContent) %></div>

复杂度优化：

  • 使用自动化工具（DOMPurify）代替手动编码
  • 配置CSP时预生成nonce值，避免每次请求计算开销

可扩展性建议

  • 大型应用使用CSP配置管理中间件，统一维护策略源
  • 通过CSP违规报告分析优化白名单
  • 低端设备启用script-src严格模式，降级使用静态资源

深度追问

  1. 如何验证CSP策略是否生效？

    • 使用CSP违规报告服务监控实际拦截情况

  2. JSONP如何影响CSP安全性？

    • 需严格限制script-src防止不可控端点调用

  3. 哪些场景必须使用unsafe-eval？

    • 仅允许需要动态执行代码的古老库（如某些图表库）
Edit this page

Last updated 06 Mar 2025, 13:07 +0800 . history