无服务器数据传输的公开Web应用是否存在XSS安全风险？

即使Web应用完全不与服务器交互，依然可能存在XSS风险，这类风险大多属于DOM型XSS——完全在客户端浏览器层面触发，无需向服务器发送任何请求。

常见的触发场景包括：

• 解析URL参数并直接渲染
  很多前端页面会读取URL中的hash、search等参数，直接插入到DOM中。如果没有对参数内容做转义或过滤，攻击者可以构造包含恶意脚本的URL，用户点击后就会触发XSS。
  示例危险代码：

  // 直接将URL hash内容插入页面
  document.querySelector('.content').innerHTML = window.location.hash.slice(1);
  

  攻击者构造的URL：http://example.com/#<img src=x onerror=alert('XSS')>

• 读取本地存储数据并渲染
  页面如果从localStorage、sessionStorage或IndexedDB中读取数据并直接渲染，攻击者可以通过同域的其他可控制页面（比如另一个存在漏洞的页面）往本地存储写入恶意脚本，当目标页面读取并渲染这些数据时，就会触发XSS。

• 客户端动态内容处理不当
  页面根据用户的本地操作（比如表单输入、下拉选择）直接将内容插入DOM，未做转义处理。比如用户输入<script>alert(1)</script>，页面直接用innerHTML插入到页面中，就会执行脚本。

XSS的核心本质是不可信数据被浏览器当作可执行代码解析，只要客户端存在这类不安全的数据处理逻辑，无论是否与服务器通信，都存在XSS风险。

内容的提问来源于stack exchange，提问作者Gam