songjianyang/xss-audit

어떤 프로젝트인가요?

핵심 기능

• 01DOM 싱크부터 프레임워크 템플릿 바인딩까지 14개 계층의 XSS 검사
• 02React, TypeScript, JavaScript 코드베이스 대상
• 03SVG, MathML, CSS 인젝션 및 mXSS 새니타이저 우회 검사 포함
• 04프로토타입 오염 체인과 신뢰할 수 없는 postMessage 데이터 흐름 검사
• 05심각도별 건수와 발견 사항별 근거를 담은 xss-audit-report.md 생성

활용 사례

• 릴리스 전에 프런트엔드 코드베이스의 XSS 감사
• 버그 바운티 대상의 JavaScript에서 인젝션 싱크 검토
• 새니타이저 및 Markdown 렌더링 파이프라인의 mXSS 위험 분류
• Trusted Types와 CSP 설정이 DOM 인젝션 경로를 차단하는지 확인

빠른 시작

1. 1

   skill 디렉터리를 에이전트의 skills 디렉터리에 복사합니다

2. 2

   에이전트에서 경로를 지정해 감사를 실행합니다

   /xss-audit src/

사용 전 알아둘 점

• !정적 분석만 수행하므로 오탐과 미탐이 발생할 수 있습니다.
• !생성된 보고서에는 민감한 경로, 소스 코드 또는 자격 증명이 포함될 수 있으므로 공유하기 전에 검토해야 합니다.

포함된 컬렉션

토픽

자주 묻는 질문

xss-audit은(는) 무엇인가요?

React, TypeScript, JavaScript 코드베이스를 14개 계층으로 정적 XSS 감사하고 보고서를 작성하는 AI 에이전트 스킬입니다. xss-audit는 AI 코딩 에이전트용 스킬로, React, TypeScript, JavaScript 프로젝트를 정적으로 검토해 크로스 사이트 스크립팅(XSS) 취약점을 찾습니다. innerHTML, dangerouslySetInnerHTML 같은 DOM 싱크, URL 및 내비게이션 처리, script 태그에 직렬화된 JSON, 프로토타입 오염 체인, postMessage를 비롯한 신뢰할 수 없는 데이터 소스, SVG와 MathML, Markdown 처리 파이프라인과 mXSS 같은 새니타이저 우회, CSS 인젝션, 프레임워크 템플릿 바인딩, Trusted Types 및 CSP 설정을 다루는 14개 검사 계층을 차례로 점검합니다.

xss-audit은(는) 무료로 사용할 수 있나요? 라이선스는 무엇인가요?

xss-audit은(는) MIT 라이선스의 오픈소스입니다. 상업용 제품에 사용하기 전에 라이선스 조건을 확인하세요.

xss-audit은(는) 아직 유지보수되고 있나요?

활발히 유지보수 중. xss-audit의 마지막 커밋은 2026년 10월 24일입니다.

xss-audit은(는) 어디에 사용할 수 있나요?

릴리스 전에 프런트엔드 코드베이스의 XSS 감사 버그 바운티 대상의 JavaScript에서 인젝션 싱크 검토 새니타이저 및 Markdown 렌더링 파이프라인의 mXSS 위험 분류 Trusted Types와 CSP 설정이 DOM 인젝션 경로를 차단하는지 확인

xss-audit는 어떻게 설치하나요?

skill 디렉터리를 에이전트의 skills 디렉터리에 복사합니다 에이전트에서 경로를 지정해 감사를 실행합니다: /xss-audit src/

xss-audit은(는) 어디서 받을 수 있나요?

소스 코드와 설치 방법은 GitHub에 있습니다: https://github.com/songjianyang/xss-audit