JavaScript输入需做哪些sanitize处理？NodeJs+Express+Mongodb场景

判断是否需要处理的核心标尺是：只要输入值最终会被传入某个带解析逻辑的上下文（DOM渲染、URL拼接、数据库查询），就必须做和上下文匹配的sanitize；只做纯逻辑判断的输入不需要过度处理。
对应你当前「客户端处理输入-展示候选页面-生成跳转链接」的全流程，具体涉及必须处理的输入类型如下：

• 所有会被渲染到页面DOM的输入值
  覆盖场景包括：用户输入的搜索关键词回显、匹配到的候选页面标题/摘要、从本地存储读取的历史输入回显。只要这些值会通过innerHTML、outerHTML这类接口插入页面结构，就必须做HTML转义，否则会直接触发DOM型XSS风险——比如输入内容带<img onerror="恶意脚本">片段，不处理就会在用户浏览候选页时直接执行。
• 所有参与拼接跳转链接的输入派生值
  覆盖场景包括：拼到URL路径段的页面标识、拼到查询参数的搜索值、拼到锚点的页面定位值。这部分的sanitize本质是针对URL上下文的转义：要对特殊字符做URI编码，从根源上防止输入篡改原有路由结构（比如输入恶意路径值越权跳转到管理后台），同时要校验最终生成的链接协议头不能是javascript:、data:这类可执行脚本的伪协议，避免跳转时触发XSS。
• 所有会随请求传递到后端、最终关联MongoDB操作的输入值
  哪怕你在前端已经做了格式校验，只要这些值是用来做Mongo查询、写入的，就必须做针对NoSQL注入的sanitize：过滤掉输入中携带的$、__proto__这类Mongo操作符特殊字符，避免原有查询逻辑被篡改（比如用户输入的查询条件绕过了公开页面的权限校验，直接拉出敏感内容）。

实操提醒：不需要对所有输入一刀切做sanitize，纯用于做前置逻辑判断（比如判断输入长度是否满足触发搜索的条件、判断输入格式是否符合页面路径命名规则）的输入，只要不参与上述三类上下文的拼接/渲染，只做格式校验即可，过度转义反而会破坏用户的正常输入体验。

内容的提问来源于stack exchange，提问作者GrindCode