songjianyang/xss-audit

Что это?

Ключевые возможности

• 01Проверяет XSS по 14 уровням — от DOM-приёмников до шаблонных привязок фреймворков
• 02Предназначен для кодовых баз на React, TypeScript и JavaScript
• 03Проверяет SVG, MathML, внедрение CSS и обходы санитайзеров, связанные с mXSS
• 04Проверяет цепочки prototype pollution и потоки недоверенных данных через postMessage
• 05Формирует xss-audit-report.md с количеством проблем по уровням критичности и подтверждающими данными по каждой находке

Сценарии использования

• Аудит кодовой базы фронтенда на XSS перед выпуском
• Проверка JavaScript-кода цели bug bounty на наличие приёмников для внедрения
• Анализ санитайзеров и Markdown-пайплайнов на риски mXSS
• Проверка того, блокируют ли настройки Trusted Types и CSP пути DOM-инъекций

Быстрый старт

1. 1

   Скопируйте каталог skill в каталог skills вашего агента

2. 2

   Запустите аудит для пути в вашем агенте

   /xss-audit src/

Что важно знать

• !Выполняется только статический анализ, поэтому возможны ложноположительные и ложноотрицательные результаты.
• !В сгенерированных отчетах могут содержаться конфиденциальные пути, исходный код или учетные данные. Проверьте отчет перед тем, как делиться им.

В подборках

Темы

Частые вопросы

Что такое xss-audit?

Навык AI-агента для статического аудита React-, TypeScript- и JavaScript-кода на XSS по 14 уровням с формированием отчёта. xss-audit — навык для AI-агентов, помогающий проводить статическую проверку проектов на React, TypeScript и JavaScript на межсайтовый скриптинг (XSS). Он выполняет проверку по 14 уровням: анализирует DOM-приёмники, например innerHTML и dangerouslySetInnerHTML, обработку URL и навигации, JSON, сериализованный в script-теги, цепочки prototype pollution, postMessage и другие недоверенные источники, SVG и MathML, Markdown-пайплайны и обходы санитайзеров, такие как mXSS, внедрение CSS, шаблонные привязки фреймворков, а также настройки Trusted Types и CSP.

xss-audit можно использовать бесплатно? Какая у него лицензия?

xss-audit распространяется с открытым исходным кодом под лицензией MIT. Перед использованием в коммерческих продуктах проверьте условия лицензии.

xss-audit всё ещё поддерживается?

Активно поддерживается. Последний коммит в xss-audit — 24 окт. 2026 г..

Для чего можно использовать xss-audit?

Аудит кодовой базы фронтенда на XSS перед выпуском Проверка JavaScript-кода цели bug bounty на наличие приёмников для внедрения Анализ санитайзеров и Markdown-пайплайнов на риски mXSS Проверка того, блокируют ли настройки Trusted Types и CSP пути DOM-инъекций

Как установить xss-audit?

Скопируйте каталог skill в каталог skills вашего агента Запустите аудит для пути в вашем агенте: /xss-audit src/

Где скачать xss-audit?

Исходный код и инструкции по установке — на GitHub: https://github.com/songjianyang/xss-audit