什么是 JavaScript 注入攻击？如何防御 XSS

阿麦

发布时间：2026-10-14 | 2人浏览过

原创

JavaScript 注入攻击利用网站对用户输入内容的处理漏洞，将恶意脚本嵌入页面，进而引发跨站脚本（XSS）攻击，导致用户隐私泄露。本文深入解析其工作原理，并以 ASP.NET MVC 为例，介绍通过 HTML 编码输入或输出数据进行防御的具体操作与最佳实践。

什么是 JavaScript 注入攻击

JavaScript 注入攻击的核心在于网站接受了用户的输入内容，并未做充分的安全过滤就直接重新显示在页面上。这种机制使得攻击者能够插入可执行的 JavaScript 代码，从而劫持浏览器的行为。

以一个简单的客户反馈网站为例：用户可以输入对产品的评价，系统在提交后会将这些评价展示在公共页面上。如果系统未对输入内容进行转义，攻击者可以在反馈表单中输入如下代码：

<script>alert("Boo!")</script>

当其他用户访问该反馈页面时，这段代码会被浏览器解析并执行，弹出警告框。虽然这看起来只是恶作剧，但在实际攻击中，黑客利用 JavaScript 注入可以执行更危险的操作，即跨站脚本攻击（Cross-Site Scripting, XSS）。

XSS 攻击的危害

一旦 JavaScript 在受害者浏览器中运行，攻击者便可以获得与受害者相同的权限。主要风险包括：

窃取 Cookie：攻击脚本可以读取保存在浏览器中的 Cookie。如果网站将会话 ID、用户名甚至敏感的临时凭证存储在 Cookie 中，这些信息将被直接发送给攻击者的服务器。
截取表单数据：如果用户在受感染的页面上填写密码、信用卡号或社保号码，注入的脚本可以拦截这些数据并将其发送到外部网站。
页面篡改：恶意脚本可以修改网页内容，误导用户点击钓鱼链接或下载恶意软件。

因此，必须高度重视此类安全风险，并采取有效措施防止用户输入的脚本被执行。

防御 JavaScript 注入的攻击方法

在 Web 开发中，特别是使用 ASP.NET MVC 框架时，防御 JavaScript 注入主要通过确保“所有用户输入都被视为不可信的数据”这一原则来实现。以下是两种常见的技术手段，核心思路都是对特殊字符进行 HTML 编码。

第1步：视图中的 HTML 编码（输出编码）

这是一种推荐的防御方式。其原理是在数据即将渲染到 HTML 页面之前，由视图引擎自动对变量进行编码。这样，任何包含 HTML 标签或脚本的代码都会变成纯文本显示，而不会被浏览器解析为可执行脚本。

操作示例：

在 Razor 视图中，使用 @Html.Encode() 或简写形式 @ 来包裹输出变量：

<%= Html.Encode(feedback.Message) %>

效果说明：

HTML 编码会将危险字符转换为对应的 HTML 实体。例如，小于号 < 变为 <，大于号 > 变为 >。

原始输入：<script>alert("Boo!")</script>

编码后输出：<script>alert("Boo!")</script>

此时，浏览器接收到的是一段普通的文本字符串，不会执行其中的 JavaScript 逻辑，而是将其显示在页面上。这是防御 XSS 的第一道也是最重要的一道防线。

第2步：写入数据库前的 HTML 编码（输入编码）

另一种做法是在数据进入持久化存储之前进行编码。这种方法通常在控制器的 Action 方法中执行。

操作示例：

在 C# 后端代码中，使用 Server.HtmlEncode() 对用户提交的字符串进行处理后再存入数据库：

public ActionResult Create(string message)
{
    // 创建反馈对象
    var newFeedback = new Feedback();
    
    // 关键点：在保存前对输入内容进行 HTML 编码
    newFeedback.Message = Server.HtmlEncode(message);
    
    newFeedback.EntryDate = DateTime.Now;
    db.Feedbacks.InsertOnSubmit(newFeedback);
    db.SubmitChanges(); 

    // 重定向以防止重复提交
    return RedirectToAction("Index");
}

执行逻辑：

当 Create 动作被触发时，message 参数在保存到数据库之前已经被编码。即使前端视图再次尝试渲染该数据，数据库中存储的已经是经过转义的文本，因此不会产生执行效果。