如何在后端净化Href值以防范XSS攻击？

要处理带有XSS风险的Href值（比如混淆的javascript:协议链接），核心思路是先标准化输入，再校验合法性，具体可以按以下步骤实现：

1. 标准化Href输入 #

首先消除混淆手段（比如空格分隔、大小写混合），把输入还原成统一格式，方便后续检测：

• 去除所有空白字符（空格、制表符、换行等）
• 统一转换为小写（避免大小写绕过检测）

示例Go代码：

import (
    "regexp"
    "strings"
)

// 匹配任意空白字符的正则
var whitespaceRegex = regexp.MustCompile(`\s+`)

func normalizeHref(href string) string {
    trimmed := strings.TrimSpace(href)
    // 移除所有空白字符
    noWhitespace := whitespaceRegex.ReplaceAllString(trimmed, "")
    // 转小写统一格式
    return strings.ToLower(noWhitespace)
}

2. 校验Href合法性 #

只允许以下几种安全的Href类型：

• 锚点（#section）
• 相对路径（/path、./path、../path）
• 安全协议链接（http://、https://、ftp://）

示例校验函数：

func isSafeHref(href string) bool {
    normalized := normalizeHref(href)
    
    // 锚点或相对路径直接放行
    if strings.HasPrefix(normalized, "#") || 
       strings.HasPrefix(normalized, "/") || 
       strings.HasPrefix(normalized, "./") || 
       strings.HasPrefix(normalized, "../") {
        return true
    }
    
    // 校验安全协议
    safeProtocols := []string{"http://", "https://", "ftp://"}
    for _, proto := range safeProtocols {
        if strings.HasPrefix(normalized, proto) {
            return true
        }
    }
    
    // 其他情况均为不安全
    return false
}

3. 净化与替换逻辑 #

对校验不通过的Href，直接拒绝使用或替换为安全默认值（比如#）；对合法的Href，可额外用html.EscapeString()处理特殊字符，避免潜在的注入风险：

import "html"

func sanitizeHref(rawHref string) string {
    if !isSafeHref(rawHref) {
        // 替换为安全默认值，也可以直接返回空或抛出错误
        return "#"
    }
    // 对合法Href转义特殊字符
    return html.EscapeString(rawHref)
}

4. 利用bluemonday简化处理 #

如果项目已经在用bluemonday，可以通过自定义策略来限制Href的合法范围，无需重复造轮子：

import (
    "github.com/microcosm-cc/bluemonday"
    "regexp"
)

func createSafePolicy() *bluemonday.Policy {
    p := bluemonday.UGCPolicy()
    // 允许a标签的href属性，但仅匹配安全的协议和路径
    p.AllowAttrs("href").OnElements("a").Matching(
        regexp.MustCompile(`^(https?://|ftp://|/|#|\./|\.\./)`),
    )
    return p
}

// 使用示例：直接净化包含a标签的HTML片段
safeHTML := createSafePolicy().Sanitize(rawHTML)

关键注意点 #

• 不要依赖前端校验：后端必须做二次校验，前端校验很容易被绕过
• 禁止危险协议：javascript:、vbscript:、data:（除非有明确业务需求且做了严格限制）均需拦截
• 注意编码绕过：比如javascript:alert(1)这类编码后的协议，标准化时可以先做HTML解码再检测

内容的提问来源于stack exchange，提问作者Nawa