不过，

一、一个让 Meta 紧急发布补丁的漏洞

2023 年 10 月，安全研究员 Masato Kinugawa 发现了 React 的一个严重安全漏洞。影响范围包括：

• React 18.0.0 到 18.2.0
• Next.js 13.0.0 之前的所有版本
• 所有使用 Server Components 的应用

Meta 随即紧急发布了 React 18.2.1 修复此漏洞。这是 React 历史上影响最大的安全漏洞之一。

二、漏洞原理：从 SSR 到 XSS

Server Components 的工作原理

Server Component 在服务端执行。返回的不是完整的 HTML，而是一段特殊的 JSON 数据结构，随后在浏览器端被 React 渲染为真实 DOM。

// Server Component 示例
async function UserProfile {
const user = await db.users.findOne;return (


{user.bio}

);}

对应的 JSON 表达如下：

{
再看"type"，"div"。"props": {
"children":
}
}

漏洞触发条件

使用者痛点：如果你的项目里大量使用 dangerouslySetInnerHTML 来渲染富文本，一旦后端没有严格过滤，就会直接把恶意脚本注入到 JSON 中，导致 XSS。

// 危险代码示例
async function UserProfile {
const user = await db.users.findOne;// 如果 user.bio 包含恶意代码，将直接写入页面
return (




);}

攻击场景：

1. 攻击者注册账号，在 bio 字段写入恶意代码：

2. 服务器在渲染 Server Component 时把这段 HTML 序列化为 JSON 并发送给客户端。
3. 浏览器收到 JSON 后由 React 渲染成真实 DOM。
4. XSS 脚本执行，窃取使用者 Cookie、LocalStorage 等敏感信息。

为什么会有这个漏洞？

React 在序列化 Server Components 时直接使用了 JSON.stringify而该方法并不会对字符串中的 “<” “>” “/” 等字符进行 Unicode 转义。于是当恶意字符串被嵌入到最终生成的 HTML 中时浏览器会把它当作真正的标签解析并执行。

// 简化版的序列化实现
function serializeComponent {
return JSON.stringify;// 没有转义特殊字符
}
// 演示问题：
const data = { html: '' };const json = JSON.stringify;// {"html":""}
// 当这段 JSON 被直接写入页面时会形成可执行的 "}
// 修复后：
{"html":"\\u003cscript\\u003ealert\\u003c/script\\u003e"}

教程

# 更新 React 与 ReactDOM 到安全版本
npm install react@18.2.1 react-dom@18.2.1
# 更新 Next.js
npm install next@13.4.4
# 检查其他依赖是否存在已知安全问题
npm audit --audit-level=high

五、防御措施

输入验证——先把“坏东西”拦在门外！

// 服务端验证示例
function validateUserInput {
// 长度限制示例
if throw new Error;// 黑名单过滤关键字
const blacklist =;="" 'i',="" 'javascript:',="" 'onerror="," 'p',="" 'u'。="" <="" b',="" code="" onload="];
  for  {
    if .includes) {
      throw new Error;
    }
  }
  // 白名单标签 + DOMPurify 消毒
  const allowedTags = ,
      },
    ];
   }
};

// 前端尝试读取会失败：
// console.log;不过，// 看不到 token



代码审查清单 <="" ="" type="“CHECKBOX”"> 所有使用者输入均和消毒
 避免使用 DANGEROUSLYSETINNERHTML 
 使用 CSP 限制脚本执行 
 Cookie 设置 HttpOnly 与 Secure 标记 
 定期更新依赖库 
 使用 npm audit 或 yarn audit 检查已知漏洞 
​ 代码审查清单>


自动化安全检查 <="" ="">自动化安全检查>


运行时监控 <="" ="">
运行时监控>