如何應對XSS攻擊

Question

我已經在OWASP和網絡上看到了很多關於如何避免/阻止XSS攻擊的信息。 但是，我還沒有找到任何提到在檢測到XSS攻擊時如何響應的內容。

應該返回什么HTTP狀態代碼（即400,403 ......）？ 您應該在屏幕上還是在console.log上提供錯誤消息？ 將它們重定向到另一個頁面？

Answer 1

您應該發送HTTP 400（錯誤請求）響應代碼和最小錯誤消息，足以使技術支持可以幫助合法用戶，但不向攻擊者提供信息。

記錄請求。

合法用戶可能會輸入一些他們不應該輸入的信息，因此您不應該采取過於嚴厲的措施。

一個真實世界的例子是Hibernate Validator的@SafeHtml驗證，如果輸入可能是XSS，它將導致400狀態代碼。