技能介绍

要解决什么问题

客户端把用户输入写进 DOM、URL 或事件回调时，很容易留下 跨站脚本（XSS） 攻击面：例如用 innerHTML 拼接未净化内容、href 接受 javascript: 协议，或在 React/Vue 里绕过框架默认转义。这类问题往往分散在业务组件与工具函数里，单靠人工 grep 很难覆盖框架特有的不安全 API。

技能如何工作

本技能以前端安全专家角色，对用户指定的代码上下文（ $ARGUMENTS$ ）做 静态分析导向 的 XSS 审查，重点包括：

注入与渲染：识别不安全的 HTML 操作、用户输入直接渲染、缺少净化的路径
URL 与协议：检查赋值前是否校验、javascript: / data: 是否被拦截、URL 构造与 href 净化
事件与动态代码：内联处理器、addEventListener 与字符串转代码等模式
框架差异：React 危险 API、Vue 的 v-html vs v-text、Angular 内置净化是否被绕过

产出通常包含：漏洞报告（含严重级别）、风险分析、带示例的修复建议、DOMPurify 等净化用法，以及可复用的预防检查清单（如优先 textContent、禁止带用户输入的 document.write 等）。也支持把扫描思路嵌入 CI/代码评审工作流。

适用边界

面向 React / Vue / Angular / 原生 JavaScript 的 XSS 模式与编码规范，不是通用 Web 渗透测试或后端模板注入专项
依赖你提供的代码片段或仓库上下文；不能替代运行时 WAF、依赖漏洞扫描或完整 SAST 产品
任务若与前端 XSS 无关，应改用其他安全或领域技能