使用DOMPurify后Checkmarx仍未通过XSS漏洞检测的原因及解决方法

为什么用了DOMPurify还会被Checkmarx报XSS？ #

主要有这几个可能：

1. ALLOWED_TAGS配置过于宽松：你允许的标签里包含html和a这类风险项。比如html标签完全没必要——你只是往页面某个元素里插入片段，允许整页HTML结构本身就会触发静态扫描的风险警报；而a标签默认允许href属性，虽然DOMPurify会过滤javascript:这类伪协议，但Checkmarx这类静态扫描工具不会深入验证DOMPurify的内部逻辑，只会看到你允许了可带属性的风险标签，直接标记漏洞。
2. 静态扫描的局限性：Checkmarx是基于规则的静态分析工具，它可能无法准确识别DOMPurify的自定义净化逻辑，尤其是你手动指定ALLOWED_TAGS的情况下，工具会默认认为你没有做足够的安全处理，产生误报。
3. 配置遗漏风险：你只指定了ALLOWED_TAGS，但未明确限制标签允许的属性。虽然DOMPurify默认会过滤onclick这类危险属性，但如果你的配置有改动，就可能引入风险。

解决办法 #

• 收紧ALLOWED_TAGS范围：删掉不需要的标签，比如html、option（如果业务不需要的话），只保留业务必须的标签。最小化允许的标签集能大幅降低风险，也能减少扫描工具的误报。
• 明确限制标签属性和协议：针对a标签，手动配置ALLOWED_ATTR，只允许必要属性，同时禁止不安全的协议。修改后的代码示例：

function purifyDOM(tag){
    var dom_purify = DOMPurify.sanitize(tag, {
        ALLOWED_TAGS: ['tr', 'th', 'td', 'a', 'div', 'table', 'i'],
        ALLOWED_ATTR: ['href'],
        FORBID_URI_PROTOCOLS: ['javascript', 'vbscript', 'data'] // 禁止风险协议
    })
    return dom_purify
}

• 验证DOMPurify实际效果：手动测试恶意输入，比如注入<a href="javascript:alert(1)">XSS</a>，看是否被净化成<a>XSS</a>或移除危险属性。确认DOMPurify正常工作后，再排查扫描工具的误报。
• 处理扫描工具误报：如果确认代码安全，可以在Checkmarx里标记该漏洞为“已验证”，或者在代码里添加工具可识别的注释（比如// CHECKMARX: SAFE - DOMPurify sanitizes input），告知工具这段代码已做安全处理。
• 升级DOMPurify到最新版本：旧版本可能存在已知漏洞，升级到最新版能确保净化逻辑的完善性。

内容的提问来源于stack exchange，提问作者Surendranatha Reddy T