jquery XSS漏洞：不是老古董才有的问题

2019年，一个叫Snyk的安全团队在jQuery 3.4.0之前的版本里发现了一个XSS漏洞——CVE-2019-11358。这个漏洞藏在`$.parseHTML()`方法里，攻击者能通过构造特殊的HTML字符串，比如带``这样的载荷，直接让脚本在页面上下文执行。别以为这是老掉牙的事，直到2023年，GitHub上仍有超过40%的前端项目在跑jQuery 1.x或2.x版本，而3.4.0以下版本全中招。

为什么这个库还活着？因为太多老系统靠它撑着。银行后台、政府门户、甚至某些医疗设备的管理界面，都嵌着十几年前的jQuery代码。开发者不是不想升级，而是怕升级后插件崩了——jQuery生态里那些第三方插件，很多早就不维护了。你换个新版本，可能整个表格排序、日期选择器全罢工。于是漏洞就这么悬着，像一颗定时炸弹。

具体攻击路径其实很直接。假设你有个搜索框，前端用`$.ajax()`拿回数据，然后直接`$('#result').html(response)`。攻击者只要在搜索词里塞一段恶意HTML，服务端如果没做严格转义，这段代码就原样进DOM。jQuery的`html()`方法不会帮你过滤事件属性，它信任你给的一切。更隐蔽的是，有些开发者会写`$(location.hash)`来拿锚点值，如果hash是`#`，jQuery会把它当成HTML片段解析，直接触发payload。

修复方案其实不复杂，但很多人懒得做。第一，升级到jQuery 3.5.0以上，官方把`$.parseHTML`的默认行为改了，不再主动执行脚本标签。第二，别用`html()`插入不可信数据，改用`text()`或者`createTextNode`。第三，实在要动态渲染，就上DOMPurify这类白名单过滤库，把`onerror`、`javascript:`这些危险属性全剥掉。

我见过最离谱的案例是某OA系统，前端把用户填的备注用`$('#note').html(userInput)`直接渲染，结果有人往备注里写了``。管理员一打开详情页，cookie就被偷了。事后查日志，攻击者只用了5分钟就拿到管理员的会话令牌。

说到底，jQuery的XSS漏洞不是技术难题，而是运维惰性。框架本身在进步，但大量存量代码仍停留在2015年的写法。你可以说“我们用了CSP头”，但CSP对`inline event handler`的防护有限，除非你严格设置`script-src 'unsafe-inline'`为禁止——可很多老系统为了兼容又不得不放开。所以最靠谱的，还是从源头管住DOM操作。

下次看到同事写`$('#app').append(data)`，你最好提醒一句：这行代码可能让整个系统裸奔。别嫌啰嗦，真被黑的时候，哭都来不及。