向API的comments参数传入<script>内容时触发403 Forbidden问题咨询

可能的原因 #

• 精准化的XSS防护策略：多数安全防护机制不会一刀切拦截所有HTML标签，只会针对能触发脚本执行的高风险标签（如<script>、<iframe>、带事件属性的<img>/<svg>）进行拦截。像<p>、<b>这类仅用于排版的标签，本身不会引发XSS攻击，所以会被放行。很多框架（如Spring Security、Django）或安全库的默认规则都是这么设计的。
• WAF的针对性规则拦截：即便你没配置Nginx规则，服务器可能开启了云WAF或内置WAF模块（比如ModSecurity）。这类WAF的规则集（如OWASP CRS）会专门检测请求中的<script>特征，拦截后不会写入普通Nginx日志，而是记录在WAF专属日志里。
• 转义内容的解码检测：你示例中用了转义后的<script>，但部分防护机制会先对参数内容解码再检测，解码后还原成<script>，触发拦截规则；而其他标签转义后解码仍为安全标签，不会触发拦截。
• 应用层的参数过滤逻辑：你的应用代码或使用的框架可能对comments字段设置了标签白名单/黑名单，比如只允许<p>、<em>这类安全标签，把<script>直接列入黑名单。

排查建议 #

• 检查应用代码中处理comments参数的逻辑，看是否有明确的标签过滤、验证规则，确认是否单独拉黑了<script>。
• 联系主机服务商，确认是否启用了云WAF或服务器级防护，申请查看WAF的拦截日志。
• 测试其他风险标签（如<iframe src="xxx">、<img src=x onerror=alert(1)>），验证是否只有可执行脚本的标签会被拦截。
• 在应用入口处添加日志，打印原始请求参数，判断请求是否到达应用层：如果日志没记录，说明是应用之外的防护机制拦截；如果有记录，说明是应用内部的过滤逻辑导致403。

内容的提问来源于stack exchange，提问作者Aravindh R