内容摘要：2012年，一个叫Kaminari的Ruby分页插件曝出XSS漏洞，攻击者能通过构造特殊的`page`参数注入脚本。这本来是个小众事件，但当时大量jQuery插件用`$(location.hash)`

2012年，跨站一个叫Kaminari的脚本Ruby分页插件曝出XSS漏洞，攻击者能通过构造特殊的漏洞`page`参数注入脚本。这本来是跨站个小众事件，但当时大量jQuery插件用`$(location.hash)`直接处理URL片段，脚本导致整个前端生态跟着遭殃。漏洞这类问题的跨站根源，往往不是脚本jQuery本身，而是漏洞开发者对选择器引擎的过度信任。

jQuery的跨站`$()`函数太强大了。你给它一个字符串，脚本它就能识别出是漏洞CSS选择器、HTML片段还是跨站纯文本。这种“智能”在便利背后埋着雷——当用户输入直接拼进`$()`时，脚本攻击者传个``，漏洞jQuery会乖乖把它解析成DOM节点并执行事件。更阴险的是`$(window.location.hash)`这种写法，`#`会绕过大部分过滤规则，因为服务端通常不校验hash值。

我见过一个真实案例。某电商后台的搜索框用`$( "#search-box" ).val()`获取关键词，再拼进`$( ".result-" + keyword ).show()`。攻击者把关键词改成`x" onmouseover="alert(document.cookie)`，直接闭合了属性。这不算高级手法，但当年这类代码在GitHub上搜`$(location.hash)`能翻出上万条结果。

修复思路其实很朴素。第一，别让用户输入直接进选择器。用`.filter()`或`.find()`配合`$.escapeSelector()`（jQuery 3.0+提供）转义特殊字符。第二，处理URL参数时优先用`URLSearchParams`或`new URL()`解析，而不是切字符串。第三，能不用HTML字符串拼接就别用，`.text()`和`.attr()`比`.html()`安全得多。

有个反直觉的点：jQuery 3.x已经原生支持`$.escapeSelector`，但很多老项目还在用1.x版本。升级会破坏大量插件，所以不少团队选择自己写正则过滤。结果呢？过滤黑名单永远赶不上攻击变种——有人用反引号绕过，有人用`

说句得罪人的话，现在新项目真没必要再用jQuery做DOM操作了。原生`querySelectorAll`不支持`<`开头的字符串解析，天然免疫这类注入。Vue、React的模板语法更是从设计上隔离了HTML解析。但存量系统怎么办？至少把`$(location.hash)`这类危险写法全局搜一遍，改成`$(document.getElementById(...))`。配合CSP（内容安全策略）禁止内联脚本，能把风险压到最低。

想起2015年Drupal的Drupalgeddon漏洞，当时官方修复方案是“升级或加补丁”，结果全球几十万站点被扫描攻击。jQuery的XSS问题比那个温和些，但原理相通：框架给的安全边界，被开发者用“方便”二字亲手拆了。你问我现在写代码最注意什么？我会说：每次想用`$()`处理不确定字符串时，先问自己一句——这玩意儿要是被塞了恶意代码，我扛得住吗？扛不住就老老实实转义。