使用document.write生成base标签触发DOM XSS严重漏洞，求安全替代方案

风险根源 #

原代码的实现逻辑被安全检测判定为DOM型跨站脚本（DOM XSS）严重风险，核心问题有两点：

• 直接将document.location字符串拼接成HTML片段，通过document.write写入文档：如果location被篡改包含恶意HTML属性（例如" onload=alert(1) x="），拼接生成的base标签会直接解析执行恶意脚本
• document.write本身无内置HTML上下文安全校验，直接拼接用户可控的URL值没有任何防护能力

等效安全实现 #

完全弃用document.write的字符串拼接逻辑，改用标准DOM API完成操作，同时对URL做结构化白名单校验，从根源切断注入路径。
核心实现代码：

// 创建原生base元素，不涉及任何HTML字符串解析
const baseElement = document.createElement('base');

// 用原生URL API对location做结构化拆解
const currentUrl = new URL(document.location.href);
// 配置允许的安全协议白名单
const allowedProtocols = ['http:', 'https:', 'file:'];

// 非安全协议直接阻断base标签创建，不做任何写入
if (!allowedProtocols.includes(currentUrl.protocol)) {
  throw new Error('Block base tag creation due to unsafe URL protocol');
}

// 通过DOM原生接口设置href，自动完成属性值上下文转义
baseElement.href = currentUrl.href;

// 插入到文档头部最前端，和原逻辑的相对路径解析效果完全等效
document.head.prepend(baseElement);

方案安全特性 #

• 彻底消除HTML字符串解析环节：所有DOM操作走原生元素创建接口，不存在把可控字符串当做HTML代码解析的逻辑，从根本上杜绝XSS注入的触发路径
• 结构化URL校验替代简单字符串匹配：通过原生URL构造器解析地址，可直接拦截各种变形的危险协议（如带大小写、空格、编码变形的javascript:伪协议），避免简单关键词匹配的绕过风险
• 属性赋值的内置安全转义：原生DOM属性赋值接口会自动处理值的上下文转义，哪怕输入字符串包含引号、尖括号，也只会被当做href的纯文本值，不会被解析为额外的恶意事件属性

注意事项 #

• 不要使用innerHTML、outerHTML这类需要字符串解析的接口插入base标签，只要走HTML字符串解析流程就存在潜在注入风险
• base标签必须放置在所有相对路径引用的资源之前，才能保证相对路径的解析基准正确，因此优先用prepend插入到head节点的最起始位置

内容的提问来源于stack exchange，提问作者cheema genupuri