chanjs 2.8.7 → 2.8.8

package/middleware/waf.js

@@ -15,7 +15,7 @@ const WAF_PATH_WHITELIST = [
 ];
 
 // waf 配置合法键集合：启动期校验，未知键打 warn，防配置漂移静默失效
-const WAF_KNOWN_KEYS = new Set(["enabled", "rateLimit", "ignorePaths"]);
+const WAF_KNOWN_KEYS = new Set(["enabled", "rateLimit", "ignorePaths", "bodyXssPaths"]);
 
 const TRUSTED_IPS = new Set(["127.0.0.1", "::1"]);
 
@@ -136,6 +136,8 @@ const createWafMiddleware = wafConfig => {
  */
 const createWafBodyMiddleware = wafConfig => {
   const ignorePaths = Array.isArray(wafConfig.ignorePaths) ? wafConfig.ignorePaths : [];
+  // body XSS 白名单：仅这些路径前缀的请求体做 XSS 过滤；默认空 = 全部不过滤
+  const bodyXssPaths = Array.isArray(wafConfig.bodyXssPaths) ? wafConfig.bodyXssPaths : [];
   return async (req, res, next) => {
     try {
       if (!wafConfig.enabled) return next();
@@ -153,16 +155,18 @@ const createWafBodyMiddleware = wafConfig => {
       // 项目 DB 全部走 knex 参数化查询（天然防 SQL 注入），后端也无任何
       // 把用户输入交给 shell 执行的路径；而关键词扫描对留言/评论/注册等正常正文
       // 误报极高（drop / select / alert / onclick 等普通词都会被拦），代价远大于收益。
-      // XSS 防护由下方 filterXSS 负责（输出编码），SQL 注入由参数化查询负责。
-
-      // body XSS过滤
-      // 例外：base/config 系统配置写入接口跳过 XSS 过滤——sys_config 配置值须原样存储
-      // （含「名称 <邮箱>」发件人格式、HTML 邮件模板等），且该接口仅管理员可访问，
-      // 配置值由后端逻辑消费而非直接反射到页面，无 XSS 风险。
-      try {
-        if (typeof req.body === "object" && !path.startsWith("/base/config")) req.body = filterXSS(req.body);
-      } catch (e) {
-        logger.error(`[WAF警告] body过滤失败 IP:${clientIp} Err:${e.message}`);
+      // SQL 注入由参数化查询负责。
+
+      // body XSS 过滤（按需开启）：默认不过滤任何接口的请求体。
+      // 全局默认过滤会静默改写入库内容（剥离 style、转义 iframe/script 等），
+      // 导致后台富文本编辑器的排版/特效无法保存。需要防护的接口
+      // （如会员注册、留言、评论等公开 UGC 写入）由项目在 bodyXssPaths 里声明。
+      if (bodyXssPaths.length && typeof req.body === "object" && isIgnored(path, bodyXssPaths)) {
+        try {
+          req.body = filterXSS(req.body);
+        } catch (e) {
+          logger.error(`[WAF警告] body过滤失败 IP:${clientIp} Err:${e.message}`);
+        }
       }
 
       next();

package/package.json

@@ -1,7 +1,7 @@
 {
   "type": "module",
   "name": "chanjs",
-  "version": "2.8.7",
+  "version": "2.8.8",
   "description": "chanjs基于 Node.js + Express 5 的标准 HMVC 框架（NHMVC），纯 JavaScript（ESM）开发。",
   "main": "index.js",
   "module": "index.js",

package/security/xss-filter.js

@@ -1,14 +1,40 @@
 import xss from "xss";
 
+// 以 xss 库默认白名单为底（覆盖 a/p/div/section/video/audio/table 等常规标签），
+// 所有标签放行 style / class / id —— 保留排版与样式，过滤不再「太严格」；
+// 另补 iframe（src 仅 https），用于合法的视频外链嵌入。
+const whiteList = xss.getDefaultWhiteList();
+for (const tag of Object.keys(whiteList)) {
+  whiteList[tag] = [...new Set([...(whiteList[tag] ?? []), "style", "class", "id"])];
+}
+whiteList.iframe = ["src", "width", "height", "frameborder", "allow", "allowfullscreen", "style", "class", "id"];
+
+// 自定义过滤：只拦真正危险的内容
+const filter = new xss.FilterXSS({
+  whiteList,
+  onTagAttr: (tag, name, value) => {
+    // on* 事件属性（onclick/onerror/onload 等）
+    if (name.startsWith("on")) return "";
+    // javascript: / vbscript: 协议
+    if ((name === "href" || name === "src") && /^\s*(javascript|vbscript):/i.test(value)) return "";
+    // iframe src 仅允许 https 外链
+    if (tag === "iframe" && name === "src" && !/^https:\/\//i.test(value)) return "";
+  },
+  // 白名单外标签（如 <script>）转义为纯文本保留，内容不丢、不可执行
+  stripIgnoreTag: false,
+});
+
 /**
  * 递归深度过滤对象/数组/字符串XSS，WeakSet防循环引用栈溢出
+ * 策略：宽白名单 —— 保留 style/class/id 与常规标签，仅剥离脚本执行能力
+ *（on* 事件、javascript:/vbscript: 协议、非 https 的 iframe、<script> 实体）。
  * @param {any} data 待清洗数据
  * @param {WeakSet} [visited] 循环引用标记缓存
  * @returns {any} 清洗后数据
  */
 export const filterXSS = (data, visited) => {
   // 字符串直接过滤
-  if (typeof data === "string") return xss(data);
+  if (typeof data === "string") return filter.process(data);
 
   // 数组遍历递归
   if (Array.isArray(data)) return data.map(item => filterXSS(item, visited));
@@ -28,4 +54,4 @@ export const filterXSS = (data, visited) => {
 
   // number / boolean / null / undefined 直接原值返回
   return data;
-};
+};