Sanitizer:DOMPurify(HTML 净化库)

DOMPurify是一个开源的 HTML 净化库,用于在浏览器或服务端把不受信任的 HTML 清洗成安全内容。它在保留正常标签、属性和样式的同时,剔除脚本、危险事件属性和可执行的伪协议,是防御跨站脚本攻击的常用工具。

概述

当网页需要展示用户提交的富文本(如评论、文章、消息)时,若直接把这段 HTML 插入页面,就可能夹带恶意脚本导致 XSS。手工用正则过滤既不可靠又容易被绕过。DOMPurify 的思路是借助浏览器自身的解析能力,把输入解析成 DOM 树,再按一份严格的白名单逐节点检查,删去不允许的标签与属性,最后输出净化后的安全 HTML。

核心特点

• 基于 DOM 解析:利用浏览器真实的解析结果,避免正则匹配无法覆盖的畸形输入被绕过。
• 白名单机制:仅保留允许的标签、属性与样式,默认剔除脚本标签、事件处理属性和危险协议。
• 高度可配置:可自定义允许的标签集合、属性集合,或对特定标签做取舍,以适配不同业务。
• 提供钩子:允许在净化过程中介入处理节点,实现更精细的定制策略。

应用场景

DOMPurify 广泛用于富文本编辑器的内容展示、Markdown 转 HTML 后的输出、站内消息和评论渲染,以及任何需要把外部 HTML 插入页面的场合。许多前端框架在需要绕过默认转义、直接渲染 HTML 时,都会先经它净化。它也可在服务端环境配合无头 DOM 使用,对入库前的内容做统一清洗。

常见问题

问:有了净化库还需要 CSP 吗?答:两者互补。净化库负责清洗要渲染的内容,内容安全策略则从资源加载层面兜底。纵深防御同时使用两者,能显著降低 XSS 风险。

问:净化会破坏正常样式吗?答:默认配置会保留常见的安全标签和内联样式,但可能剔除少数被判定为危险的写法。若发现合法内容被误删,可在确保安全的前提下调整白名单配置。