AWS Lambda函数中Checkmarx反射型XSS问题的解决问询

首先明确你之前的处理方式为什么无效：

• 函数对象通过JSON.stringify序列化后会变成类似"function handleGetRequest() { ... }"的字符串，而sanitizeHtml是用来过滤HTML标签的工具，对函数代码里的恶意JS逻辑（比如eval('alert("XSS")')）完全起不到净化作用。
• 后续用JSON.parse转回的结果是字符串，而非原函数对象，这会直接破坏原有调用逻辑，同时根本没解决Checkmarx的告警点。

针对这个问题，分两种场景给出解决方案：

场景1：函数是内部可信代码（误报） #

如果handleGetRequest和handlePostRequest是你自己代码库中定义的可信函数，不存在外部注入风险，那这属于Checkmarx的误报，直接处理误报即可：

• 在Checkmarx平台中将该告警标记为误报，并添加注释说明这些函数为内部可信逻辑，无外部注入可能。
• 也可以在代码中添加Checkmarx专属忽略注释（格式参考你使用的Checkmarx版本文档），比如：

  export const handler = (
    // CHECKMARX: IGNORE XSS - 内部可信函数，无外部注入风险
    handleGetRequest: Function,
    // CHECKMARX: IGNORE XSS - 内部可信函数，无外部注入风险
    handlePostRequest: Function,
    handlePutRequest: Function,
    handleDeleteRequest: Function
  ) => async (
    request: i.LambdaEvent,
    context: i.LambdaContext,
    done: i.LambdaCallback
  ) => {
      // 原有逻辑
  };
  

场景2：函数是外部传入的（存在真实风险） #

如果这些函数确实是从外部（比如用户输入、第三方接口）传入的，需要通过以下方式安全处理：

1. 验证函数内容合法性 #

检查函数的代码字符串是否符合预期格式，拒绝包含恶意逻辑的函数：

// 示例：只允许函数包含安全的调用逻辑（正则可根据实际需求调整）
const safeFunctionRegex = /^function\s*\([^)]*\)\s*\{\s*[\w\s\.\(\),'"=\-\+\/]*\s*\}$/;

// 验证handleGetRequest
if (!safeFunctionRegex.test(handleGetRequest.toString())) {
  throw new Error("非法函数：检测到潜在恶意代码");
}

// 同样验证handlePostRequest
if (!safeFunctionRegex.test(handlePostRequest.toString())) {
  throw new Error("非法函数：检测到潜在恶意代码");
}

2. 沙箱隔离执行（Node.js环境） #

如果必须执行外部传入的函数，使用Node.js的vm模块创建安全沙箱，限制函数的执行权限，防止恶意代码访问敏感资源：

import vm from 'vm';

// 创建沙箱，仅暴露允许的全局资源
const sandbox = {
  // 只提供函数需要的安全API，比如预定义的数据库查询方法
  safeDatabaseQuery: yourSafeDbQueryFunction
};

// 处理handleGetRequest
const getFunctionCode = handleGetRequest.toString();
try {
  const context = vm.createContext(sandbox);
  vm.runInContext(`const safeGetFunc = ${getFunctionCode}`, context);
  // 替换为沙箱中的安全函数
  handleGetRequest = context.safeGetFunc;
} catch (err) {
  throw new Error("函数净化失败：" + err.message);
}

// 同样处理handlePostRequest
const postFunctionCode = handlePostRequest.toString();
try {
  const context = vm.createContext(sandbox);
  vm.runInContext(`const safePostFunc = ${postFunctionCode}`, context);
  handlePostRequest = context.safePostFunc;
} catch (err) {
  throw new Error("函数净化失败：" + err.message);
}

3. 优化设计：避免直接接收函数对象 #

最安全的方式是不直接接收外部函数，而是接收函数的配置参数，在内部生成可信函数：

// 改为接收配置对象，而非函数
export const handler = (
  getConfig: { apiPath: string, allowedParams: string[] },
  postConfig: { apiPath: string, allowedParams: string[] },
  handlePutRequest: Function,
  handleDeleteRequest: Function
) => async (
  request: i.LambdaEvent,
  context: i.LambdaContext,
  done: i.LambdaCallback
) => {
    // 内部根据配置生成可信的GET请求处理函数
    const handleGetRequest = async () => {
      // 仅使用配置中的合法参数和路径
      const validParams = Object.fromEntries(
        Object.entries(request.queryParams).filter(([key]) => getConfig.allowedParams.includes(key))
      );
      return await fetch(`/api${getConfig.apiPath}`, { method: 'GET', params: validParams });
    };

    // 同理生成handlePostRequest
    const handlePostRequest = async () => {
      // 验证并处理POST参数
      const validBody = Object.fromEntries(
        Object.entries(request.body).filter(([key]) => postConfig.allowedParams.includes(key))
      );
      return await fetch(`/api${postConfig.apiPath}`, { method: 'POST', body: validBody });
    };

    // 后续逻辑
};

内容的提问来源于stack exchange，提问作者Razvan