JianFeeeee
a8ac2fc28b
pi 指出的残余缺口：我上一轮加的自检 4 是**文本证据**（文件里有 `test(` / `check(` /
`process.exit(1)`），只能证明"**有能红的路径**"，不能证明"**它跑过**"。反例很短：
```js
const check = () => {}; // 实现被换空（现实形态：合并冲突改坏实现）
check('a', false); // 存在、也执行了，但什么都不会红
console.log('主题：通过'); // 有输出
```
## 落地（pi 给的闭环形状）
1. 自定义 `check()` 的判据结尾打一行机器可读汇总 `RESULT pass=<条数> fail=<失败数>`
（`node:test` 的判据不用改，已有 `# pass N`）；
2. `run-all.mjs` **只解析这个固定 marker**（不猜口语汇总——「窄屏布局：全部通过」里没有数字，
按数字猜会误报，这一点我上轮已经实测过）；
3. 与清单里登记的**期望条数**比对，**低于 → 红**。
关键细节：**计数写在 `check()` 内部**（theme/background 原本就在内部 ++；
narrow-layout 只有 failed 计数，补了 passed；markdown-xss 按 payload 条数算）。
写在调用点或靠扫源码的话，"实现被换空"就看不见了。
棘轮"只增不减"：加判据**不用**改那个数，只有"条数掉了"才红。期望值按**实测**回填
（9/52/8/30/42/15/28/5/23/5/3/2）。
附带的可见性收益：这几轮我一直用"13→14""19→28""34→42"当信号，现在它成了判据 ——
某次改动顺手删掉两条判据、或某条被跳过，会立刻红。
## 变异
- pi 那个反例（`check` 换成空函数）→ 红（`自报 0 条 < 登记的 30 条`）；
- 删掉 5 条 `check(` 调用 → 红（`自报 47 条 < 登记的 52 条`）。
## 规范
§6.5 新增"涉及运行时行为的结论必须实测过才能写进规范/判据"——同一个错这轮犯了两次
（我从"报告 0 个测试、退出 0"推断"退出码被吞"，实测是照传；pi 拿我这个结论又建了一个洞）。
规则：**一次观察只支撑你看到的那一层**。
§6.6 记闭环形状与代价（故意删判据要同步改数字，属于一次可复核的显式编辑）。
⚠️ 并且如实记下一次**我自己违反规范**的事：写 §3 那条"变异后别用 `git checkout` 还原"的人
（就是我）在这次变异验证里又用了 `git checkout -- <文件>`，把刚加、尚未提交的 marker 抹掉了。
规矩写下来不等于会遵守 —— 已把这条实例写进规范，让人知道它是活人踩的坑。
## 验证
`npm test` 退出码 0（12 个判据文件全绿 + vitest 258/258）；`run-all` 单独跑也 exit 0。
46 lines
1.8 KiB
JavaScript
46 lines
1.8 KiB
JavaScript
// 回归测试：确认邮件正文的 Markdown 渲染不会执行注入的脚本。
|
||
// react-markdown 默认不解析 raw HTML（无 rehype-raw），且用 defaultUrlTransform
|
||
// 清空非 http(s)/mailto 协议的 URL —— 本测试守住这两个前提，防止日后有人
|
||
// 为了「支持 HTML 邮件」顺手加上 rehype-raw 而不自觉地开了 XSS 口子。
|
||
//
|
||
// 运行：node test/markdown-xss.test.mjs
|
||
|
||
import { renderToStaticMarkup } from 'react-dom/server';
|
||
import React from 'react';
|
||
import Markdown from 'react-markdown';
|
||
import remarkGfm from 'remark-gfm';
|
||
|
||
// 只有【真实标签】里的危险内容才算漏。
|
||
// 注意不能直接搜 onerror=：raw HTML 被转义成 <img … onerror=" 后，
|
||
// 文本里仍含该字样但已无执行能力，按标签边界匹配才不会误报。
|
||
const dangerous = /<(script|iframe|object|embed)\b|<[a-z][^>]*\son[a-z]+\s*=|<[a-z][^>]*(href|src)\s*=\s*"javascript:/i;
|
||
|
||
const payloads = [
|
||
'<script>alert(1)</script>',
|
||
'<img src=x onerror="alert(1)">',
|
||
'[click](javascript:alert(1))',
|
||
'<a href="javascript:alert(1)">x</a>',
|
||
'<iframe src="https://evil.com"></iframe>',
|
||
')',
|
||
'<div onmouseover="alert(1)">hover</div>',
|
||
'[ok](https://example.com)',
|
||
'**bold** `code`',
|
||
];
|
||
|
||
let leaks = 0;
|
||
for (const p of payloads) {
|
||
const html = renderToStaticMarkup(
|
||
React.createElement(Markdown, { remarkPlugins: [remarkGfm] }, p)
|
||
);
|
||
const bad = dangerous.test(html);
|
||
if (bad) leaks++;
|
||
console.log((bad ? 'LEAK ' : 'safe '), JSON.stringify(p), '->', html.slice(0, 80));
|
||
}
|
||
if (leaks > 0) {
|
||
console.error(`\n失败：${leaks} 处 XSS 泄漏`);
|
||
process.exit(1);
|
||
}
|
||
console.log('\n通过：raw HTML 被转义，javascript: URL 被清空');
|
||
// 机器可读汇总：每条 payload 算一条（leaks 就是 fail）
|
||
console.log(`RESULT pass=${payloads.length - leaks} fail=${leaks}`);
|