.innerHTML和XSS预防

Question

我有以下代码行：

document.getElementById("div-1").innerHTML = userInput;

其中， userInput是用户提供的变量。 我意识到用户可以通过插入类似以下内容的内容轻松插入有害的脚本：

<img src="/" onerror="alert('attack');"/>

但是，我不确定这是否是XSS的示例，因为我觉得只有受影响的用户才是攻击者。

这是XSS的示例吗？ 如果是这样，您能否举一个示例，说明攻击者如何以XSS形式利用此漏洞以及如何减轻这种安全风险？

Answer 1

是的，这是XSS。 如果仅攻击者他/她自己受到影响，则称为自我XSS。 但是，自我XSS通常可以与其他错误（例如CSRF）链接在一起，以将自我XSS转变为可行的攻击媒介。

如果将userInput分配给.textContent而不是.innerHTML，则指示浏览器将数据视为文本而不是HTML。