Veracode 扫描：jQuery html 方法显示网页问题中与脚本相关的 HTML 标记的不正确中和

Question

Veracode 在下面的行中指出了网页中与脚本相关的 HTML 标记的不正确中和（基本 XSS） 问题。

$('#SummaryDiv').html(data);

$.ajax({
            url: 'Target_URL',
            type: 'GET',                
            datatype: "json",
            traditional: true,
            cache: false
        }).done(function (data) {               
            $('#SummaryDiv').html(data);

我通过 ajax 调用将 MVC 视图结果绑定到 DIV。检查了stackoverflow中的文章，但没有运气。解决此验证码问题的可能解决方案是什么。

Answer 1

我已按照以下文章并通过对从 MVC ViewResult 接收到的 html 进行编码来解决此问题。

基于 DOM 的 XSS 预防备忘单 https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/DOM_based_XSS_Prevention_Cheat_Sheet.md

OWASP 企业安全 API (ESAPI) https://github.com/ESAPI/owasp-esapi-js/blob/28b2767731e672c620b86701a9f98f235951392b/README.md

对不受信任的内容进行编码的 ESAPI 方法：$ESAPI.encoder().encodeForHTML(content)

Answer 2

所以你是把 json 直接放到一个 div 中？我想这意味着您不希望响应包含任何要呈现的 HTML，而是希望 JSON 按原样显示。 所以解决方法是使用 jQuery 的 .text() 而不是 .html()

编辑：如果您需要将其呈现为 HTML，则应先使用 DOMPurify 对其进行清理。