如何利用 Trusted Types 彻底重构遗留项目中的危险字符串拼接逻辑以通过现代安全审计

如何利用 Trusted Types 彻底重构遗留项目中的危险字符串拼接逻辑以通过现代安全审计

提到“彻底重构”字符串拼接逻辑，Trusted Types 本身并不直接做这件事。它的核心价值在于，强制将所有高危的 DOM 写入点，从过去直接传递string的模式，切换为必须使用经过类型受控的TrustedHTML、TrustedScript等对象。这相当于把运行时信任的决策权，从开发者容易出错的手动拼接，移交给了浏览器级别的类型校验系统。当然，这一切生效的前提是项目已经启用了强制性的 CSP 策略，并且覆盖了所有可能的“漏洞入口”。

第一步：确认浏览器兼容性与 CSP 基础配置

想让这套机制在全链路生效，服务端返回正确的 HTTP 响应头是关键，仅仅在前端添加 Ja vaScript 策略是无效的。有几个细节必须注意：

• 必须使用 HTTP 响应头：通过 标签设置的方式，不支持 require-trusted-types-for 指令。
• 生产环境一个最小可行的响应头配置如下：
  Content-Security-Policy: trusted-types default; require-trusted-types-for 'script'; default-src 'self';
• 这里的 default 是一个策略名占位符。如果项目使用了自定义策略名（例如 dom-sanitizer），必须在 CSP 头中显式列出，否则浏览器会回退到宽松模式，安全机制形同虚设。
• 在开发阶段，建议先使用 Content-Security-Policy-Report-Only 模式来捕获潜在的策略违规报告，避免策略一上线就直接阻断功能，影响开发体验。

第二步：识别并替换全部高危 sink 调用点

这项工作最忌“头疼医头”。不能只盯着最常见的 innerHTML 修改。在遗留代码中，那些容易被忽略的逃逸入口往往才是真正的风险点：

• el.insertAdjacentHTML('beforeend', unsafe) —— 这个方法的危险性与 innerHTML 等同，同样受到 Trusted Types 控制，需要统一走策略处理。
• document.write(unsafe) 和 document.writeln() —— 虽然已是淘汰的 API，但在老代码中仍可能存留，必须清理。
• location.href = 'ja vascript:alert(1)' —— 这种形式的脚本执行，需要通过 createURL 策略进行包装。
• eval('...')、setTimeout('...', 100)、setInterval('...', 100) —— 所有以字符串形式动态执行的代码，都必须禁用或重写为函数形式。
• el.setAttribute('onerror', '...') —— 部分现代浏览器已能拦截，但不能依赖于此；更安全的做法是改用 el.onerror = handler 进行事件绑定。

第三步：定义最小必要策略，拒绝“万能 HTML 构造器”

这里有一个关键认知需要转变：策略（Policy）不是过滤器，而是可信内容的“出口闸门”。每个策略都应该职责单一、上下文明确：

• 切忌在 createHTML 方法内部做复杂的白名单过滤或正则清洗——这不仅容易被绕过，还会带来性能损耗。
• 对于纯文本展示，优先使用 textContent，这能完全绕过 Trusted Types 的限制，既安全又高效。
• 当必须插入 HTML 时，正确的模式是：先在策略外部使用专门的库（如 DOMPurify）进行净化，再由策略进行简单的包装。
  示例：createHTML: (input) => DOMPurify.sanitize(input)
• 对于模板渲染场景，可以封装一个预编译策略。
  示例：createHTML: (tpl, data) => Mustache.render(tpl, data)（需确保 Mustache 模板引擎的输出本身是已净化的）。
• 必须禁止在策略内部调用 eval、new Function，或者将参数拼接后直接返回字符串，这违背了策略设计的初衷。

第四步：处理框架与第三方库集成

React、Vue、Angular 等现代框架大多已适配 Trusted Types，但旧版本或项目中的自定义渲染逻辑仍可能存在逃逸风险：

• 首先检查所用框架的官方文档，确认其是否声明支持 require-trusted-types-for 指令。例如，React 18.3+ 和 Vue 3.4+ 的版本通常默认兼容。
• 主动禁用或严格管控框架中允许直接传入原始 HTML 的 API，例如 Vue 的 v-html 和 React 的 dangerouslySetInnerHTML。应改用受控组件或通过策略进行包装。
• 对于 Ant Design、Element Plus 这类第三方 UI 库，如果其内部调用了 innerHTML，需要确认它们是否导出了策略接口，或者考虑通过统一的包装器（wrapper）进行拦截处理。
• Web Components 中的 shadowRoot.innerHTML 在 Safari 17.4+ 和 Firefox 148+ 中已受控，但对于旧版浏览器，仍需做好降级处理方案。

整个流程梳理下来，技术原理并不复杂，但难点在于细节的全面覆盖，这一步往往容易被忽略。