WPVIP提示window.location.href需sanitize，求正确处理方法

问题根源 #

WPVIP的静态代码扫描规则认为window.location.href包含用户可控的输入（比如恶意构造的查询参数、哈希值），直接使用并输出到history.replaceState存在潜在XSS风险，因此触发警告。

可行解决方案 #

方案1：手动构建可信基础URL（推荐）

只提取URL中服务器可控的安全部分（协议、主机、路径），避开可能被用户篡改的查询参数或哈希，再构建新URL：

// 提取安全的基础URL片段
const baseUrl = `${window.location.protocol}//${window.location.host}${window.location.pathname}`;
const url = new URL(baseUrl);
// 仅添加我们需要的查询参数
url.searchParams.set('sc', 123);
window.history.replaceState(null, null, url.href);

这种方式彻底规避了用户可控内容的引入，完全符合WPVIP的安全要求。

方案2：清理现有查询参数

如果必须基于当前完整URL修改，可清空所有原有查询参数，仅保留我们需要设置的内容，确保输出的URL完全可控：

const url = new URL(window.location.href);
// 重置查询参数，仅保留目标参数
url.search = new URLSearchParams({ sc: 123 }).toString();
window.history.replaceState(null, null, url.href);

若需要保留部分原有可信参数，可单独删除不需要的项：

const url = new URL(window.location.href);
// 移除指定外的所有查询参数（示例：保留"page"参数）
Array.from(url.searchParams.keys()).forEach(key => {
  if (key !== 'page') url.searchParams.delete(key);
});
url.searchParams.set('sc', 123);
window.history.replaceState(null, null, url.href);

核心逻辑 #

WPVIP的规则核心是避免将未过滤的用户可控内容输出到浏览器API，只要确保最终传递给replaceState的URL仅包含可信内容（服务器生成的路径、我们自己设置的参数），就能通过扫描。

内容的提问来源于stack exchange，提问作者Michael Elementary