如何在ColdFusion 2016中防范表单字段的Cross-Site Scripting攻击？

先说最关键的：前端JS验证只能给用户提个醒，防不住真正的攻击——攻击者完全可以绕过前端直接发恶意请求（比如用命令行工具修改HTTP包）。必须靠后端处理才能彻底解决这个漏洞，前端验证最多算优化用户体验的加分项，绝不能当成安全屏障。

你现有代码的问题 #

当前结果页的正则替换rereplace(input,"[^A-Za-z0-9-]"," ","all")存在两个致命漏洞：

1. 仅把非法字符替换成空格，但如果攻击者输入的恶意代码全是允许的字符（比如javascript:stealData()），这层过滤根本起不到作用；
2. 最核心的缺失：没有对输出到页面的内容做HTML转义——就算过滤了部分字符，残留的恶意内容照样能被浏览器解析成脚本执行。

代码修改方案 #

1. 表单页（可选：添加前端验证优化体验） #

想加就加，纯为了给用户即时提示，别指望它防攻击：

<input type="text" name="keyword" value="search by keyword" onfocus="clearThis(this)" onblur="checkKeyword(this)" />
<script>
function checkKeyword(input) {
    const validPattern = /^[A-Za-z0-9-]*$/;
    if (!validPattern.test(input.value.trim())) {
        alert("关键词只能包含字母、数字和连字符哦");
        input.value = "";
    }
}
</script>

2. 结果页（必须修改，核心安全逻辑） #

后端要同时做输入过滤和输出转义，双保险阻断漏洞：

<!--- 先获取用户输入，处理空值避免报错 --->
<cfset input = form.keyword ?: "" />
<!--- 直接移除非字母/数字/连字符的内容，不保留空格 --->
<cfset filteredKeyword = rereplace(input, "[^A-Za-z0-9-]", "", "all") />

<!--- 输出到页面时，必须用ColdFusion内置转义函数处理！ --->
<!--- EncodeForHTML是CF10+推荐的安全函数，HTMLEditFormat也可使用，二者都能转义<>""&等危险HTML字符 --->
<p>您搜索的关键词：<cfoutput>#EncodeForHTML(filteredKeyword)#</cfoutput></p>

额外安全建议 #

• 尽快将ColdFusion 2016更新到最新补丁，Adobe会持续修复已知安全漏洞；
• 不止搜索关键词，所有用户输入内容（表单字段、URL参数等）都要执行后端过滤+输出转义；
• 可在ColdFusion管理员控制台的「安全」选项中开启全局XSS防护，增加额外安全层。

内容的提问来源于stack exchange，提问作者Heather Goldstraw