Django项目HTTP参数未sanitize触发Snyk XSS告警的解决求助

问题原因 #

直接将未处理的GET参数拼接进HttpResponse会导致HTML特殊字符（如<, >, &）被浏览器解析执行，触发XSS风险，单纯转换为字符串无法解决这个问题，因为字符串转换不会处理HTML特殊字符。

有效修复方案 #

1. 使用Django内置HTML转义函数

Django提供django.utils.html.escape工具，专门转义HTML特殊字符，彻底阻断XSS注入可能：

from django.utils.html import escape

someError = request.GET.get('error', None)

if someError is not None:
    self.logger.exception(f'Authorization failed with error: {someError}')
    # 对错误信息进行HTML转义
    sanitized_error = escape(someError)
    return HttpResponse(f'Authorization failed with error: {sanitized_error}')

2. 使用Django模板系统渲染（推荐）

Django模板默认会自动对变量进行HTML转义，是更规范的安全实践：

1. 创建简单模板文件（如templates/error_auth.html）：

<p>Authorization failed with error: {{ error_msg }}</p>

2. 在视图中用render返回模板：

from django.shortcuts import render

someError = request.GET.get('error', None)

if someError is not None:
    self.logger.exception(f'Authorization failed with error: {someError}')
    return render(request, 'error_auth.html', {'error_msg': someError})

3. 增加输入范围校验（可选增强）

如果错误信息是预定义枚举值，可先校验输入合法性，进一步降低风险：

from django.utils.html import escape

ALLOWED_ERRORS = {'invalid_token', 'expired_token', 'missing_permission'}
someError = request.GET.get('error', None)

if someError is not None:
    # 仅允许预定义的错误类型，非法输入替换为默认值
    sanitized_error = someError if someError in ALLOWED_ERRORS else 'unknown_error'
    self.logger.exception(f'Authorization failed with error: {sanitized_error}')
    return HttpResponse(f'Authorization failed with error: {escape(sanitized_error)}')

内容的提问来源于stack exchange，提问作者Karan