漏洞深度剖析：Cross-Site Scripting in Rust

Learn how to fix Cross-Site Scripting (XSS) (CWE-79) in Rust. Side-by-side vulnerable vs secure code examples for Askama, Tera auto-escaping, and Actix-web HTML rendering.

💡 通俗易懂的原理解析 (ELI5)

想象一下，有人在社区公告栏上贴了一张便签：'凡阅读此便签者，请立刻将钱包交给身旁的人'。如果路过的居民盲目执行公告栏上的每一条纸条指令，任何张贴便签的人都能瞬间偷走所有人的财物。

核心概念与专有名词

Web Application Security: 技术概念 (Web Application Security)：Core architecture component affected by CWE-79.
CWE-79: 技术概念 (CWE-79)：Standard Common Weakness Enumeration classification for xss-rust.
Defense-in-Depth: 技术概念 (Defense-in-Depth)：Multi-layered engineering verification and runtime boundary isolation.

攻击执行流程分解

Step 1

注入恶意脚本载荷

攻击者在表单输入框、URL 查询参数中输入恶意 HTML 标签或 JavaScript 代码（如 <script> 或 <img onerror=...>）。

Step 2

未转义直接渲染或持久化存储

应用程序将原始输入未经上下文 HTML 实体编码即直接拼接入页面或写入数据库。

Step 3

受害者浏览器 DOM 解析与执行

当受害者访问该页面时，浏览器将未转义的字符解析为合法的可执行脚本而非普通文本。

Step 4

会话劫持与同源特权滥用

恶意脚本在受害者会话上下文中执行，窃取 document.cookie、读取 LocalStorage 凭据或冒名发起操作。

源代码对比：漏洞与安全实现

✕ 存在漏洞的实现

// format! has no HTML awareness
let body = format!(
  "<div>Welcome, {}</div>", name
);

✓ 加固后的安全修复

// Askama auto-escapes .html templates
#[derive(Template)]
#[template(path = "welcome.html")]
struct Welcome<'a> { name: &'a str }
// welcome.html: <div>Welcome, {{ name }}</div>

工程与系统安全加固清单

✓工程安全防范准则：Render HTML through an auto-escaping template crate (Askama, Tera) — never build it with format!。
✓确保 each template's escape mode explicitly rather than assuming it from the file extension。
✓工程安全防范准则：Apply HTML-context escaping on top of JSON serialization when embedding data in a <script> block。