使用Checkmarx检测到jQuery val()/text()存在XSS漏洞，求解决方案

针对你遇到的Checkmarx标记的XSS问题，核心原因是任何来自用户输入、AJAX响应的内容都可能被注入恶意脚本，哪怕用val()/text()获取的值也可能被污染。下面是几个实用的解决办法：

1. 用纯文本插入替代HTML解析类方法 #

这是最安全的方式，完全避免HTML解析带来的风险：

• 不要用append()/html()/after()这类会解析HTML的方法，改用text()直接设置文本：

  // 错误示例：用html()插入拼接的HTML
  $('#contact-table').html('<tr><td>' + contactName + '</td></tr>');
  // 正确示例：用text()插入
  const $tr = $('<tr>').append($('<td>').text(contactName));
  $('#contact-table').append($tr);
  

• 如果用原生DOM创建，必须设置textContent或innerText，绝对不能用innerHTML：

  const tr = document.createElement('tr');
  const td = document.createElement('td');
  td.textContent = contactName; // 关键：用textContent而非innerHTML
  tr.appendChild(td);
  document.getElementById('contact-table').appendChild(tr);
  

  你之前改DOM创建没解决问题，大概率是还在使用innerHTML拼接内容，要彻底避免这种写法。

2. 对必须插入的HTML做严格编码 #

如果确实需要插入HTML内容（比如富文本），必须先把特殊字符转成HTML实体：

• 写一个轻量的编码函数：

  function htmlEncode(str) {
    if (!str) return '';
    return str.replace(/[&<>"']/g, match => {
      const map = {
        '&': '&amp;',
        '<': '&lt;',
        '>': '&gt;',
        '"': '&quot;',
        "'": '&#39;'
      };
      return map[match];
    });
  }
  

• 使用时先编码再插入：

  $('#target').html(htmlEncode(userProvidedContent));
  

• 要是需要保留合法HTML标签（比如<b>、<p>），得用白名单过滤，只允许指定标签和属性，过滤掉script、iframe以及所有on*事件属性。

3. AJAX响应的安全处理 #

• 如果AJAX返回纯文本：直接用text()插入，不要用html()：

  $.get('/api/contacts', function(response) {
    $('#result').text(response);
  });
  

• 如果返回HTML片段：要么后端提前做严格的sanitize（只保留安全标签），要么前端解析后过滤危险内容：

  $.get('/api/html-content', function(response) {
    const parser = new DOMParser();
    const doc = parser.parseFromString(response, 'text/html');
    
    // 删除危险标签
    const unsafeTags = ['script', 'iframe', 'embed', 'object'];
    unsafeTags.forEach(tag => {
      doc.querySelectorAll(tag).forEach(el => el.remove());
    });
    
    // 移除所有事件属性
    doc.querySelectorAll('*').forEach(el => {
      Array.from(el.attributes).forEach(attr => {
        if (attr.name.startsWith('on')) el.removeAttribute(attr.name);
      });
    });
    
    $('#result').append(doc.body.innerHTML);
  });
  

4. 后端Sanitize的强化 #

你已经用PHP做了部分处理，要确保覆盖所有外部输入：

• 对所有用户输入、第三方接口返回的内容，用htmlspecialchars()处理，指定完整参数：

  $sanitizedInput = htmlspecialchars($userInput, ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8');
  

  这样后端输出的内容已经是编码后的实体，前端无论用text()还是html()插入都不会触发XSS。

关于Checkmarx误报 #

如果确认某段内容是完全可信的（比如固定静态文本，无外部来源），可以在代码中添加Checkmarx忽略注释：

// CHECKMARX: IGNORE XSS
$('#static-content').html('<p>可信的静态内容</p>');

但一定要谨慎，确保没有任何用户可控的内容混入。

内容的提问来源于stack exchange，提问作者santiago morales