如何修复Node.js Express应用的反射型XSS漏洞？Checkmarx输入未中和问题处理

该类「Web页面生成过程中输入未正确中和」的告警对应跨站脚本（XSS）风险，Checkmarx静态扫描会自动追踪不可信输入的数据流路径：req.params是用户完全可控的请求传入值，属于不可信数据源，只要这个值未经过滤/中和处理，后续被传递到HTML拼接、页面渲染等输出到浏览器的环节，就会触发告警。告警标记的代码行是数据流的起点，并非这行赋值本身存在风险。

1. 从数据入口做严格白名单校验 #

不要信任任何用户传入的路由参数，首先根据业务中token的实际生成规则，定义明确的合法字符集、长度范围，不符合规则的输入直接拦截，不进入后续业务逻辑：

• 优先在Express路由定义层面加参数正则约束，从入口层拦截非法格式的请求，不符合约束的请求不会进入处理逻辑。
• 在接口处理逻辑层加二次校验，避免路由层约束被绕过。

示例代码：

// 路由层加约束：仅允许字母、数字、中划线、下划线，固定32位长度（根据实际业务调整规则）
app.get('/verify/:company2tftoken([A-Za-z0-9_-]{32})', handleVerify)

// 处理逻辑层二次校验
const handleVerify = (req, res) => {
  const token = req.params.company2tftoken;
  const VALID_TOKEN_RULE = /^[A-Za-z0-9_-]{32}$/;
  if (!VALID_TOKEN_RULE.test(token)) {
    return res.status(400).json({ msg: '请求参数非法' });
  }
  // 后续业务逻辑
}

2. 按token的全链路使用场景做中和处理 #

Checkmarx的告警触发条件是不可信输入未中和就到达Web输出点，需要逐一排查token的所有使用场景：

• 如果token仅在后端做数据库校验、接口比对，不会被返回给前端渲染到页面/拼接到HTML：做完上述白名单校验后，输入已经被中和，不会再触发告警。
• 如果token需要被渲染到服务端返回的HTML页面中：
  • 优先使用成熟模板引擎的自动转义能力（如EJS的<%= 变量 %>、Pug默认的变量输出），不要使用无转义的输出语法（如EJS的<%- 变量 %>）直接输出未处理的token。
  • 如果需要手动拼接HTML返回内容，必须对输出到HTML的字符串做转义处理，不能直接把原token拼入HTML。

手动拼HTML场景的示例代码：

const escapeHtml = require('escape-html');
const safeToken = escapeHtml(token);
res.send(`<p>当前校验的token为：${safeToken}</p>`);

3. 常见避坑提醒 #

• 不要用过滤特殊字符的黑名单方案做防护，黑名单很容易被各种编码绕过，白名单是最可靠的输入校验方案。
• 不要觉得token不会返回给前端就无视告警，Checkmarx的静态扫描不会跟踪运行时的实际逻辑，只要存在不可信输入未处理就可能传递到输出点的数据流路径，就会触发告警，必须在数据入口就完成中和处理。

防护参考原则：OWASP 跨站脚本防护指南中关于输入校验白名单、输出转义的核心要求，所有不可信输入必须在数据入口完成合法性校验，输出到对应上下文前按场景做匹配的转义处理。

内容的提问来源于stack exchange，提问作者Light71192