1. 当Lua遇上XSS：为什么需要警惕？

在Web开发领域，XSS（跨站脚本攻击）就像潜伏在暗处的"数据刺客"，而OpenResty作为基于Nginx的高性能Web平台，其Lua脚本的灵活性反而可能成为攻击突破口。笔者曾遇过一个真实案例：某电商平台在商品评价模块直接输出用户输入的HTML标签，导致攻击者通过提交<script>alert('Hacked!')</script>成功弹窗。这种漏洞在动态内容渲染时尤为危险。

OpenResty的响应处理流程为：请求 → Nginx → Lua脚本 → 响应输出。如果在Lua脚本处理用户输入时未做过滤，恶意脚本就会被注入到最终输出的HTML中。更危险的是，当这些脚本携带Cookie窃取代码时，可能引发用户会话劫持。

2. 实战防御：三层过滤策略

2.1 基础防护：HTML转义

技术栈：OpenResty + LuaJIT

location /comment {
    content_by_lua_block {
        local comment = ngx.var.arg_comment or ""
        
        -- 使用内置转义函数处理HTML特殊字符
        local safe_comment = ngx.escape_html(comment)
        
        ngx.say("<div class='comment'>"..safe_comment.."</div>")
    }
}

当用户输入<img src=x onerror=alert(1)>时，转义后变为：

&lt;img src=x onerror=alert(1)&gt;

ngx.escape_html会自动转换<, >, &, ", '等特殊字符，就像给这些危险字符穿上了防弹衣。

2.2 进阶防护：上下文感知转义

不同输出场景需要不同的转义策略：

JavaScript上下文处理

local user_input = [[</script><script>alert('xss')//]]
local json = require "cjson"
local safe_js = json.encode(user_input)  -- 输出结果为"<\/script><script>alert('xss')\/\/"

URL参数处理

local unsafe_url = "javascript:alert(1)"
local safe_url = ngx.escape_uri(unsafe_url)  -- 转换为javascript%3Aalert%281%29

2.3 终极防护：内容安全策略（CSP）

在Nginx配置中添加：

add_header Content-Security-Policy "default-src 'self'; script-src 'unsafe-inline' 'unsafe-eval' 'self'";

这相当于给浏览器安装"脚本安检门"，即使有漏网之鱼也能被拦截。

3. 关联技术：模板引擎的正确打开方式

使用lua-resty-template模板引擎时，默认的变量输出是安全的：

template.render([[
    <html>
    <body>{{ user_content }}</body>  <!-- 自动转义 -->
    </html>
]], { user_content = "<script>alert(1)</script>" })

但要注意使用{* user_content *}语法时会关闭转义，就像打开了安全锁，需要谨慎使用。

4. 防御技术对比分析

方法 优点 缺点 适用场景
HTML转义 实现简单，性能优异 需区分输出上下文 简单文本展示
CSP策略 浏览器级防护 配置复杂，兼容性问题 高安全要求场景
模板引擎 自动化防护 学习成本较高 复杂页面渲染

5. 六大黄金准则

  1. 转义时点法则：在最终输出时转义，不要提前处理（像现做现卖的早餐更安全）
  2. 白名单验证：对用户输入进行正则过滤
local valid_comment = string.match(comment, "^[%w%p%s]{1,500}$")
  1. 编码统一：强制指定字符集
charset utf-8;
  1. Cookie保护：
add_header Set-Cookie "sessionID=123; HttpOnly; Secure";
  1. 输入长度限制：
if #comment > 500 then
    ngx.exit(ngx.HTTP_BAD_REQUEST)
end
  1. 审计日志：
ngx.log(ngx.NOTICE, "可疑输入:", ngx.var.request_body)

6. 典型应用场景剖析

6.1 API网关防护

在请求转发前增加过滤层：

location /api {
    access_by_lua_block {
        local args = ngx.req.get_uri_args()
        for k,v in pairs(args) do
            if string.find(v, "[<>]") then
                ngx.exit(ngx.HTTP_FORBIDDEN)
            end
        end
    }
    proxy_pass http://backend;
}

6.2 富文本编辑器处理

使用白名单过滤HTML标签：

local sanitize_html = require "resty.sanitizer"
local clean_html = sanitize_html.filter(dirty_html, {
    elements = {"p", "br", "strong"},
    attributes = {p = {"class"}}
})

7. 常见误区排雷

  • 过度依赖前端验证：攻击者可直接绕过浏览器提交请求
  • 错误使用ngx.re.gsub：正则表达式设计不当可能导致过滤绕过
-- 错误示例：仅替换<script>标签
local filtered = ngx.re.gsub(input, "<script>", "", "i")

-- 正确做法：使用综合过滤方案
  • 忽略非HTML响应：JSON接口同样需要防护
ngx.header.content_type = "application/json"
ngx.say([[{"data: "]]..json.encode(user_input).."}")

8. 防御体系全景图

构建多层防御矩阵：

 用户输入 → 输入验证 → 业务处理 → 上下文转义 → CSP策略 → 浏览器渲染
        \______日志审计______/   \____HTTP头防护____/

9. 总结与展望

在OpenResty的Lua开发中，XSS防御就像建造防洪堤坝，需要多道防线的配合。本文演示的转义方法、模板引擎使用、CSP策略的组合拳，在实践中能有效拦截99%的XSS攻击。随着WebAssembly等新技术的发展，未来的防护手段可能会更底层，但"数据消毒"的基本原则永远不会过时。