技能 frontend-mobile-security-xss-scan
📦
frontend-mobile-security-xss-scan
内容修订 r2 中风险 ⚡ 包含脚本⚙️ 外部命令📁 文件系统访问
扫描前端代码中的 XSS 风险
前端 XSS 问题在常规代码审查中很容易被遗漏。此技能引导 Claude、Codex 和 Claude Code 对不安全渲染、URL 处理以及清理缺口进行重点检查。
支持: Claude Codex Code(CC)
使用我的智能体安装
将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。
智能体请求
Review the Skillstore skill "frontend-mobile-security-xss-scan" from https://skillstore.io/skills/sickn33-frontend-mobile-security-xss-scan.md and its manifest at https://skillstore.io/api/skills/sickn33-frontend-mobile-security-xss-scan/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.你的智能体仍应展示其计划，并按安全策略请求必要确认。
Agent 可读资源
当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。
测试它
正在使用“frontend-mobile-security-xss-scan”。 一个 React 组件渲染从 API 接收的文章 HTML。
预期结果:
报告会标记不安全的富 HTML 渲染，将其评为高严重程度，并建议在渲染前使用 DOMPurify。
正在使用“frontend-mobile-security-xss-scan”。 一个 Vue 模板对用户资料内容使用 v-html。
预期结果:
审查会识别原始 HTML 渲染，解释 XSS 路径，并建议使用 v-text 或经过清理的 HTML。
正在使用“frontend-mobile-security-xss-scan”。 一个 JavaScript 重定向将查询参数用作目标地址。
预期结果:
结果会警告不安全的 URL 赋值，并建议使用 URL constructor 进行协议白名单校验。
安全审计
中风险v6 • 2026/7/23 打开版本化报告
All 24 static findings are false positives caused by Markdown fences, TypeScript template literals, documented security commands, and expected local file reads. A separate medium-severity logic flaw can suppress valid React findings when any sanitization term appears elsewhere in a file.
1
已扫描文件
331
分析行数
0
复核项
0
已忽略误报
已确认安全问题 (1)
中
File-wide sanitization check can hide unsafe React sinks
The React detector suppresses every matching sink when the file contains DOMPurify or sanitize anywhere, even when the vulnerable value never passes through that sanitizer.
The detector passes the complete file to hasSanitization, which returns true from a simple file-wide substring test. This directly creates false negatives.
风险因素
⚡ 包含脚本 (1)
⚙️ 外部命令 (18)
SKILL.md:37-153 SKILL.md:153-157 SKILL.md:157-174 SKILL.md:174-200 SKILL.md:200-204 SKILL.md:204-208 SKILL.md:215-217 SKILL.md:227-229 SKILL.md:237-243 SKILL.md:243-247 SKILL.md:247-257 SKILL.md:257-261 SKILL.md:261-267 SKILL.md:267-270 SKILL.md:270-273 SKILL.md:273-274 SKILL.md:274-275 SKILL.md:275-290
📁 文件系统访问 (1)
审计者: codex 查看审计历史 →
分享与引用此报告
分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。
复制报告链接
https://skillstore.io/skills/sickn33-frontend-mobile-security-xss-scan/audits/6?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/sickn33-frontend-mobile-security-xss-scan?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/sickn33-frontend-mobile-security-xss-scan?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-frontend-mobile-security-xss-scan/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/sickn33-frontend-mobile-security-xss-scan.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学术引用 (APA · BibTeX · CFF)
APA 引用
sickn33. (2026). frontend-mobile-security-xss-scan security audit report (audit version 6) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-frontend-mobile-security-xss-scan/audits/6BibTeX 引用
@techreport{sickn33-sickn33-frontend-mobile-security-xss-scan-2026,
author = {sickn33},
title = {frontend-mobile-security-xss-scan security audit report (audit version 6)},
institution = {Skillstore},
year = {2026},
number = {6},
url = {https://skillstore.io/skills/sickn33-frontend-mobile-security-xss-scan/audits/6},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "frontend-mobile-security-xss-scan security audit report (audit version 6)"
version: "unspecified"
type: report
authors:
- name: "sickn33"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/sickn33-frontend-mobile-security-xss-scan/audits/6"
identifiers:
- type: other
value: "skillstore:sickn33-frontend-mobile-security-xss-scan:audit:6"
description: "Skillstore immutable audit report identifier"
Skillstore 评分
评分依据 证据置信度: 高 55
架构
85
可维护性
87
内容
69
社区
83
规范符合性
你能构建什么
合并前 XSS 审查
在合并会渲染用户内容的功能之前，审查已更改的前端文件。
框架安全审计
检查 React、Vue 或 Angular 代码中的不安全渲染和清理器绕过模式。
安全编码指导
为需要更安全 DOM 和 URL 处理模式的团队创建清晰的修复说明。
试试这些提示
基础 XSS 扫描
扫描这个前端文件中的 XSS 风险。重点关注不安全的 HTML 渲染、URL 赋值以及缺失的清理。返回包含严重程度和修复方案的发现项。
React 渲染审查
审查这些 React 组件中的 dangerouslySetInnerHTML、原始 HTML 辅助函数和不安全 props。解释每个风险，并建议更安全的 React 模式。
框架迁移审计
审计这个前端目录中跨框架的 XSS 风险。按文件、严重程度、输入来源、渲染接收点和推荐缓解措施对发现项进行分组。
发布安全报告
根据这些发现项创建一份 XSS 发布审查报告。包含风险影响、受影响模式、必需修复、安全示例以及需要人工验证的项目。
最佳实践
- 在阻止发布之前，结合周围的数据流审查每个发现项。
- 优先使用安全渲染 API，例如 textContent，除非确实需要受信任的 HTML。
- 在运行包安装、Semgrep 或本地扫描器脚本之前，要求明确批准。
避免
- 不要在未检查清理情况的情况下，将每个 innerHTML 出现点都视为可利用漏洞。
- 不要因为来源看起来是内部的，就批准原始 HTML 渲染。
- 不要在未经审查的情况下运行来自不受信任仓库的本地扫描器脚本。
常见问题
这个技能会自动运行扫描器吗？
不会。它提供审查步骤、示例扫描逻辑和可选命令示例。
它涵盖哪些框架？
它涵盖 React、Vue、Angular 指导以及纯 JavaScript DOM 模式。
它能证明代码没有 XSS 吗？
不能。它可以发现有风险的模式，但仍然需要人工审查和测试。
它会推荐 DOMPurify 吗？
会。对于需要渲染受信任 HTML 的场景，它建议使用 DOMPurify。
Claude Code 或 Codex 可以在仓库中使用它吗？
可以。他们可以使用清单和提示词审查仓库中的前端文件。
这些命令示例运行起来安全吗？
应先审查这些示例。包安装和本地脚本需要明确的用户批准。