Revel框架防XSS需服务端入库前用bluemonday清洗、富文本提交用JSON格式或JS预处理、上传文件校验魔数并限制静态路径、Flash消息须过滤后存入。
Revel 框架本身不防 XSS，模板默认转义只是“拦住一半”，真正防住得靠你手动加白名单过滤 + 渲染控制 + 路由隔离三步闭环。光靠 {{.Content|safe}} 就渲染富文本，等于把枪交给用户还卸了保险。
为什么 {{.Content}} 默认转义反而会误导人？
Revel 模板引擎对 {{.Content}} 自动做 HTML 实体编码，比如输入 <p><strong>Hi</strong></p>，页面显示的就是纯文本 <p><strong>Hi</strong></p>，而不是加粗段落——这让人误以为“内容被安全处理了”。但一旦改成 {{.Content|safe}}，又完全放开，原始 HTML 直接执行。中间没过滤，就是裸奔。
- 常见错误现象：后台存了带
<script></script>的内容，前端用|safe一渲染，XSS 立刻触发 - 正确做法：服务端入库前必须清洗，不是“存进去再看”，而是“存之前就砍掉非法标签”
- 推荐用
bluemonday定义策略，比如只允许p、strong、ul、li、a[href]，其余全删 - 别自己写正则过滤——
<img src="x" onerror="alert(1)" alt="Revel框架XSS漏洞防护的实战技巧" >这类绕过太容易，正则永远追不上
CSRF 放行后，富文本提交怎么避免被 WAF 拦？
雷池等 WAF 对含 <script></script>、onerror、javascript: 的 POST body 敏感，而你绕过 Revel CSRF 拦截后，直接提交原始 HTML，大概率被当成攻击流量打回。
- 方案一（推荐）：前端提交前用 JS 做轻量预处理，把明显高危模式替换成占位符，比如
onerror→data-onerror，服务端接收后再还原（仅限可信编辑器场景） - 方案二：改用
application/json提交，把 HTML 内容塞进字段如{"content": "<p>..."}</p>，WAF 对 JSON body 检查通常弱于 form-urlencoded - 切记不要在 URL 参数里传富文本内容，GET 请求长度受限且日志易泄露
- 如果必须用 form 提交，确保
Content-Type: application/x-www-form-urlencoded，并确认 WAF 规则没开启“HTML in POST body”强检模式
上传图片/文件时，XSS 怎么从后端漏进来？
很多人只防了富文本内容，却忘了上传的 HTML 文件、SVG 图片、甚至 PDF 附件里也能藏脚本。Revel 没有内置文件内容扫描，这块全靠你卡死入口。
- 上传路由必须独立定义，不能复用普通控制器；例如
/api/upload，并在app.conf中显式关闭该路径的 CSRF 拦截（而非全局关） - 校验文件扩展名和
Content-Type双重检查，但更关键的是读取文件头（magic bytes）：SVG 必须以<?xml或<svg> 开头，禁止 <code><script></script>出现在前 4KB - 上传后的访问路径必须走
/assets/静态服务，且服务器需配置X-Content-Type-Options: nosniff，防止 MIME 类型混淆执行 - 用户头像等可被插入
<img src="user.png" alt="Revel框架XSS漏洞防护的实战技巧" >的地方，务必限制域名白名单，禁止加载外部 SVG
最常被忽略的一点：Flash 消息（flash.Success）如果拼接了用户输入，即使用了 |safe，也会在重定向后页面中执行——因为 Flash 数据是存在 Cookie 里的，而 Revel 的 Flash Cookie 是明文 Base64，根本没过滤。所以任何带用户输入的提示，都得先过 bluemonday 再塞进 Flash。
