有一些关于XSS过滤的开源项目么

Question

有没一些 xss 过滤系统的开源项目呢？
比如，这个
XSS Cheat Sheet
维护了一份常见的 XSS 攻击脚本列表。
还有其他的吗？

Answer 1

如果你真的想自己做一个站点的话，还是老老实实自己写一份白名单。就算有开源项目，也不一定是你用的语言的，就算有你用的语言，也估计要你去配置哪些不要过滤。建议在config里面写一个allowList，然后对每次上传都做判断。

Answer 2

可以参考下Yii中的CHtmlPurifier

Answer 3

你需要这个屌屌的XSS过滤模块：http://jsxss.com/zh/index.html
在线演示：http://jsxss.com/zh/try.html

简单使用方法：

在页面中引入文件http://rawgit.com/leizongmin/js-xss/master/dist/xss.js

filterXSS('任何HTML代码'); // => 将返回经过滤安全无害的HTML代码

另外这个XSS过滤模块支持白名单过滤配置，你可以定制适合自己场景的过滤规则。

Answer 4

OWASP Java HTML Sanitizer，给你参考 如何过滤不可信输入防御网站被XSS?