CakePHP 2.X路径型XSS问题：页面路由存在注入风险

看起来你在CakePHP路由配置中遇到了路径型XSS漏洞——当攻击者在slug路径后注入类似"/lending-center/"%20qss%3D"QssAttrValue"的恶意内容时，这些内容会被传入网站并引发脚本执行风险。这个问题的核心是用户可控的路径参数（slug及后续片段）没有被正确转义或过滤，下面是分层次的修复方案：

1. 视图层强制转义（最核心的防御） #

无论路由如何配置，最关键的是在输出任何来自URL的参数时，必须进行适当的转义处理：

• 如果是在HTML中输出$slug或路径参数，使用CakePHP内置的h()函数进行HTML转义：

  <!-- 在视图文件中输出slug时 -->
  <?= h($slug) ?>
  

• 如果是在JavaScript中使用这些参数，要使用json_encode()进行JS转义，避免注入恶意脚本：

  <script>
      const pageSlug = <?= json_encode($slug) ?>;
  </script>
  

转义是XSS防御的基础，它能把恶意的HTML/JS字符转化为无害的实体字符，阻止脚本执行。

2. 路由层面添加正则约束（第一道过滤防线） #

修改你的路由配置，给slug参数添加正则规则，限制其只能包含安全的字符（比如字母、数字、连字符、下划线），不符合规则的请求会直接返回404，无法进入控制器处理：

Router::connect('/:slug', 
    array('controller' => 'pages', 'action' => 'display'), 
    array(
        'routeClass' => 'SlugRoute',
        'slug' => '[a-zA-Z0-9\-_]+' // 限定slug的合法字符范围
    )
);

Router::connect('/:slug/*', 
    array('controller' => 'pages', 'action' => 'display'), 
    array(
        'routeClass' => 'SlugRoute',
        'slug' => '[a-zA-Z0-9\-_]+'
    )
);

3. 控制器层清洗参数（第二道过滤防线） #

在PagesController的display动作中，对传入的slug和路径参数进行清洗，过滤掉所有非允许的字符：

public function display($slug = null) {
    // 清洗slug，仅保留合法字符
    if ($slug) {
        $slug = preg_replace('/[^a-zA-Z0-9\-_]/', '', $slug);
    }
    
    // 清洗后续的路径片段（如果有）
    $pathParts = $this->request->getParam('pass');
    $cleanedPathParts = array_map(function($part) {
        return preg_replace('/[^a-zA-Z0-9\-_]/', '', $part);
    }, $pathParts);
    
    // 后续业务逻辑使用清洗后的参数
    // ...
}

4. 开启CSP安全策略（兜底防御） #

在AppController中开启内容安全策略（CSP），即使出现漏网的恶意脚本，也能阻止浏览器执行它：

public function initialize(): void {
    parent::initialize();
    $this->loadComponent('Security');
    
    // 配置CSP，禁止内联脚本和外部未授权资源
    $this->Security->setCsp([
        'default-src' => "'self'",
        'script-src' => "'self'",
        'style-src' => "'self'"
    ]);
}

这些措施层层递进，从输入过滤到输出转义，再到兜底的安全策略，能彻底解决你遇到的路径型XSS问题。

内容的提问来源于stack exchange，提问作者David Cole