Checkmarx提示document.url不安全 该XSS告警是否存在真实漏洞？

漏洞真实性判断 #

这段代码触发的是静态代码扫描的误报，本身不存在可利用的XSS漏洞，你可以评估后直接标记为Not Exploitable，核心原因如下：

• window.location赋值的行为是触发页面导航，浏览器会将赋值内容严格作为URL解析，不会直接把内容当做脚本或者HTML执行，和动态插入页面内容的逻辑有本质区别。
• document.URL返回的是当前页面经过浏览器标准化的真实地址，无法被伪造为javascript:这类可执行伪协议：即使用户手动在地址栏输入伪协议执行代码，document.URL仍然会保留原页面的正式URL，不会被伪协议覆盖。
• 即使攻击者构造了包含恶意内容的URL参数，将其赋值给window.location只会跳转至该URL，是否触发XSS完全取决于目标页面是否存在将URL参数未编码输出的漏洞，和这段赋值代码本身无关。

替代方案（仅用于消除扫描告警，非必须修复） #

如果location.reload()不符合业务需求（比如需要避开POST请求重发提示、缓存校验逻辑等），又要消除静态扫描告警，可以使用以下等效方案替换：

1. 拆分URL组件拼接，避开直接使用document.URL触发扫描规则

if (someCondition) {
    window.location = window.location.origin + window.location.pathname + window.location.search + window.location.hash;
}

2. 增加协议校验逻辑，完全符合安全规范要求

if (someCondition) {
    const currentUrl = new URL(document.URL);
    // 仅允许http/https协议跳转，彻底排除伪协议风险
    if (['http:', 'https:'].includes(currentUrl.protocol)) {
        window.location = currentUrl.toString();
    }
}

内容的提问来源于stack exchange，提问作者Medinoc