songjianyang/xss-audit

这是什么？

核心功能

• 01覆盖 14 层 XSS 检查，从 DOM 注入点到前端框架模板绑定
• 02面向 React、TypeScript 和 JavaScript 代码库
• 03包含 SVG、MathML、CSS 注入以及 mXSS 净化器绕过检查
• 04检查原型链污染和 postMessage 等不可信数据流
• 05生成 xss-audit-report.md，包含严重程度统计和每项发现的证据

适用场景

• 在发布前对前端代码库进行 XSS 安全审计
• 在漏洞赏金项目中排查 JavaScript 代码的注入点
• 检查净化器和 Markdown 渲染流程是否存在 mXSS 风险
• 验证 Trusted Types 和 CSP 配置是否封堵 DOM 注入路径

快速上手

1. 1

   将技能目录复制到智能体的 skills 目录中

2. 2

   在智能体中对指定路径运行审计

   /xss-audit src/

使用前须知

• !仅进行静态分析，可能产生误报和漏报。
• !生成的报告可能包含敏感路径、源代码或凭据，分享前应先审查。

收录于专题

标签

常见问题

xss-audit 是什么？

一个 AI 智能体技能，对 React、TypeScript 和 JavaScript 代码库进行 14 层静态 XSS 审计并生成报告。 xss-audit 是一个供 AI 编程智能体使用的技能，用于对 React、TypeScript 和 JavaScript 项目做静态跨站脚本（XSS）审查。它覆盖 14 层检查，包括 innerHTML、dangerouslySetInnerHTML 等 DOM 注入点，URL 与路由跳转，写入 script 标签的 JSON 序列化，原型链污染，postMessage 等不可信来源，SVG 与 MathML，Markdown 渲染及 DOMPurify 等净化器绕过（含 mXSS），CSS 注入，前端框架模板绑定，以及 Trusted Types 和 CSP 配置。

xss-audit 可以免费使用吗？用的什么许可证？

xss-audit 以 MIT 许可证开源。用于商业产品前，请先确认许可证条款。

xss-audit 还在维护吗？

活跃维护中。xss-audit 最近一次提交是在 2026年10月24日。

xss-audit 适合用来做什么？

在发布前对前端代码库进行 XSS 安全审计 在漏洞赏金项目中排查 JavaScript 代码的注入点 检查净化器和 Markdown 渲染流程是否存在 mXSS 风险 验证 Trusted Types 和 CSP 配置是否封堵 DOM 注入路径

xss-audit 怎么安装和运行？

将技能目录复制到智能体的 skills 目录中 在智能体中对指定路径运行审计: /xss-audit src/

在哪里获取 xss-audit？

源代码和安装说明在 GitHub 上：https://github.com/songjianyang/xss-audit