DOM型XSS高危点定位需聚焦客户端数据流：先在Sources面板搜索location.search、location.hash等源，再追踪其是否未经处理直接流入innerHTML、document.write、eval等sink函数，全程不经过服务器。
前端安全测试不是“扫出几个高危就完事”，而是要盯住数据从输入、处理到输出的完整链路。XSS、DOM型注入、恶意跳转、富文本执行，这些问题几乎都源于同一类错误：把不可信数据当可信内容用。
怎么快速定位 DOM 型 XSS 的高危点
DOM 型 XSS 不经过服务器，全在浏览器里发生，所以不能靠抓包或后端日志，得直接看前端 JS 怎么处理用户数据。
- 打开开发者工具 → Sources 面板，全局搜索
location.search、location.hash、document.referrer、localStorage.getItem等常见数据源 - 顺着这些变量找下游调用，重点盯
innerHTML、outerHTML、document.write、eval、setTimeout（第二个参数是字符串时）、script.src赋值等 sink 函数 - 在疑似位置打个断点，手动改 URL 参数（比如加
#<img src="https://img.php.cn/" alt="HTML前端安全测试：漏洞排查与防范教程">），看 DOM 是否被直接插入且未转义
容易踩的坑：只查 innerHTML，却漏掉 element.insertAdjacentHTML 或 Vue/React 中 v-html、dangerouslySetInnerHTML 这类等效操作；或者以为用了框架就绝对安全，但一旦绕过模板机制直接操作 DOM，风险照旧。
图片和音视频标签的 src 属性怎么防注入
<img src> 和 <video src> 看似无害，但 src 若拼接了用户输入，就可能变成 XSS 或 SSRF 入口。
立即学习“前端免费学习笔记（深入）”；
- 禁止允许
javascript:、data:、vbscript:协议，URL 必须以https://或http://开头（相对路径除外） - 对动态生成的 src 值做白名单域名校验，比如只允许来自
cdn.example.com或media.example.org的地址 - 服务端不要直接返回用户上传的原始文件名或 URL，而应生成带签名的临时链接（如
/media/abc123?token=xyz） - 配合 CSP 策略，设置
img-src 'self' https://cdn.example.com，浏览器会直接拦截非法来源
容易踩的坑：前端只做正则校验（如 /^https?:\/\//），但攻击者用 https://evil.com/x%00javascript:alert(1) 绕过；或者后端返回了安全 URL，但前端 JS 又二次拼接，破坏了校验上下文。
富文本编辑器输出怎么避免执行恶意 HTML
富文本不是“过滤 script 标签”就万事大吉。攻击者会用事件属性、SVG、CSS 表达式、注释分割等方式绕过简单黑名单。
- 服务端存储前必须用白名单过滤（只保留
p、strong、img等必要标签），而不是黑名单删script - 前端渲染时，别用
innerHTML直接写入，优先走textContent+ 安全解析（如DOMPurify.sanitize(html)） - 禁用所有事件处理器：
onerror、onload、onclick等，连 SVG 里的onload也要干掉 - 如果必须支持样式，限制 CSS 属性白名单（如只允许
color、font-size），禁用background-image、@import等危险特性
容易踩的坑：依赖客户端 JS 过滤，但攻击者禁用 JS 后直接提交 raw HTML；或者服务端净化了，前端又用 v-html 二次渲染，等于白做。
路由跳转和链接 href 怎么防止开放重定向
前端跳转函数若接收 URL 参数且不做校验，很容易被用来钓鱼或绕过登录态。
- 避免直接使用
window.location.href = userInput，改用白名单匹配逻辑，比如只允许/dashboard、/profile等内部路径 - 对外部跳转，统一走中间页或跳转网关（如
/go?url=https://trusted.com），并在服务端验证协议和域名 - 检查所有
<a href>、<form action>、fetch()、XMLHttpRequest的目标地址是否含用户可控字段 - 关键操作页面（如支付、密码修改）启用
Referrer-Policy: strict-origin-when-cross-origin，减少敏感参数泄露
真正难防的是那些藏在第三方 SDK 或埋点脚本里的跳转逻辑——它们往往不走你写的跳转函数，却同样接受 URL 参数。这类代码必须人工审计，自动化工具基本覆盖不到。
