修改后Checkmarx仍标记DOM XSS漏洞，寻求JS/jQuery技术帮助

安全阿岳

2026-6-27

XSS修复后Checkmarx误报的解决方案

你的修复思路完全正确：用text()和createTextNode()将用户可控的k和v以纯文本形式插入DOM，避免了HTML解析，从代码逻辑上已经彻底消除了XSS风险。Checkmarx仍然标记漏洞，基本是静态扫描工具的误报——这类工具依赖预设规则匹配，对动态构建DOM的安全写法识别能力有限。

可以试试以下两种优化写法，既能保持代码安全，又能降低工具误报概率：

优化写法1：统一使用jQuery API

$.each(response, function(k, v) {
    var li = $("<li>").addClass('list-group-item ng-binding ng-scope');
    var strong = $("<strong>").addClass('ng-binding').text(k + ": ");
    li.append(strong);
    // 用jQuery的text()包裹v，风格统一且易被扫描工具识别
    li.append($("<span>").text(v)); 
    $("#ulId").append(li);
});

优化写法2：全量使用原生DOM API

$.each(response, function(k, v) {
    var li = document.createElement('li');
    li.classList.add('list-group-item', 'ng-binding', 'ng-scope');
    
    var strong = document.createElement('strong');
    strong.classList.add('ng-binding');
    strong.textContent = k + ": ";
    li.appendChild(strong);
    
    li.appendChild(document.createTextNode(v));
    document.getElementById('ulId').appendChild(li);
});