Express.js项目Checkmarx XSS漏洞修复咨询：express-validator未生效如何解决

问题根因 #

你当前的校验逻辑存在两处明显缺陷，导致express-validator未生效且被扫描工具识别出风险：

1. 校验顺序错误：你先将原始req.body赋值给callTags变量，之后才执行validationResult校验逻辑，赋值时点校验规则尚未生效，扫描工具会认定你使用了未处理的用户输入
2. 校验范围不全：你仅对empName单个字段配置了转义规则，但直接将整个req.body对象赋值给变量，对象内其他未被校验的字段仍然存在XSS风险

修复方案 #

• 调整校验顺序：先执行校验逻辑，确认校验通过后再使用请求体中的内容
• 避免直接引用原始req.body：优先使用express-validator提供的matchedData()方法获取已经经过校验、转义的字段集合，不要直接操作原始用户输入
• 补充响应头防护：接口新增X-Content-Type-Options: nosniff响应头，明确返回Content-Type: application/json，避免浏览器将返回内容误解析为HTML触发XSS

修复后代码示例 #

const express = require("express");
const router = express.Router();
const { body, validationResult, matchedData } = require("express-validator");

router.post(
  `/testData`,
  body("empName").trim().escape().notEmpty(),
  // 如果有其他需要使用的字段，统一在这里加校验规则
  // body("otherField").trim().escape()
  async (req, res, next) => {
    try {
      const errors = validationResult(req);
      if (!errors.isEmpty()) {
        return res.status(400).json({ errors: errors.array() });
      }
      // 校验通过后再获取处理后的字段，不要直接用req.body
      const validData = matchedData(req);
      const callTags = validData; // 仅包含已经过校验转义的字段
      // 修复原代码中未定义response的问题，根据业务需要填正确的状态码，比如200
      res.setHeader('X-Content-Type-Options', 'nosniff');
      res.status(200).json('hello');
    } catch (ex) {
      next(ex);
    }
  }
);
module.exports = router;

额外说明 #

如果修复后Checkmarx仍然误报，可以在使用已校验变量的位置添加注释标记该内容已经过XSS转义，大部分静态安全扫描工具会识别这类注释跳过误报。

内容的提问来源于stack exchange，提问作者Dharmendra Singh