原型链污染漏洞源于JavaScript原型继承机制被恶意篡改，攻击者通过不安全的对象合并、深拷贝或动态赋值将属性注入Object.prototype，影响所有对象行为；典型场景包括递归合并、不加判断的深拷贝及基于用户输入的动态路径赋值。
原型链污染漏洞源于 JavaScript 对象的原型继承机制被恶意篡改，导致任意属性可被注入到 Object.prototype 上，进而影响所有对象行为。核心成因是不安全的对象合并、深拷贝或属性赋值操作，尤其在处理用户可控输入（如 JSON 数据、URL 参数、配置文件）时未做校验。
污染发生的典型场景
以下几类操作极易触发原型链污染：
-
递归合并（如 lodash.merge）：当攻击者传入
{"__proto__": {"admin": true}}，合并逻辑若未过滤键名，就会将admin属性写入Object.prototype，后续任意对象（如{}）都会拥有.admin === true -
不加判断的深拷贝：自研或轻量库的深拷贝函数若直接遍历并赋值
obj[key] = value，遇到__proto__、constructor、prototype等特殊键时会意外修改原型 -
基于点号或方括号的动态赋值：例如
obj[path] = value中path来自用户且为"__proto__.toString"，可能覆盖内置方法
关键防御策略
防御需从输入控制、操作加固和运行时防护三方面入手：
-
禁止使用危险键名：在解析、合并、赋值前，显式拦截
__proto__、constructor、prototype—— 不仅检查顶层键，还需对嵌套路径（如a.__proto__.b）做字符串匹配或路径分段校验 -
使用安全的工具函数：优先选用已修复的库版本（如 lodash ≥4.17.12），或改用原生
Object.assign（仅浅拷贝）、structuredClone（现代环境），避免黑盒深合并逻辑 -
冻结基础原型（谨慎使用）：启动时执行
Object.freeze(Object.prototype)可阻止新增属性，但无法覆盖已有属性，且可能影响依赖原型扩展的合法库，建议仅用于高安全要求的沙箱环境 - 启用严格模式 + 类型校验：结合 TypeScript 或运行时 schema 验证（如 Zod、Joi），确保配置对象结构固定，非法字段直接拒绝而非静默忽略
检测与响应建议
上线前和运行中应主动识别风险：
立即学习“Java免费学习笔记（深入）”；
- 静态扫描：用 ESLint 插件（如
eslint-plugin-security）标记_.merge、JSON.parse后直接合并等高危调用 - 动态监控：在测试或预发环境注入典型 payload（如
{"__proto__": {"polluted": "1"}}），检查是否出现({}).polluted === "1" - 日志告警：对解析请求体、读取配置文件等入口点添加字段白名单日志，发现疑似原型键立即记录上下文并告警
原型链污染不是“理论漏洞”，已在 Express、Vue CLI、Webpack 等多个主流项目中真实爆发。防御不依赖单一方案，而在于对数据流向的清醒认知——只要用户输入参与了对象属性写入，就必须明确它能否抵达原型层面。
