Pencegahan Cross-Site Scripting (XSS) menuntut pendekatan berlapis yang berfokus pada validasi input, sanitasi, dan pengkodean output yang tepat sebelum data dirender oleh browser. Kerentanan XSS terjadi ketika aplikasi web menyertakan data yang tidak terpercaya ke dalam halaman web tanpa melakukan validasi atau pelolosan (escaping) yang memadai, memungkinkan penyerempet mengeksekusi skrip berbahaya di sisi klien korban.
Untuk mengamankan aplikasi secara menyeluruh dari serangan XSS Reflected, Stored, dan DOM-based, pengembang wajib menerapkan serangkaian kontrol keamanan standar industri yang terbukti efektif menghentikan eksekusi kode arbitrer.
1. Konteks Pengkodean Output (Context-Aware Output Encoding)
Pengkodean output adalah garis pertahanan utama melawan XSS. Data yang akan dimasukkan ke dalam HTML harus diubah karakternya menjadi entitas yang aman berdasarkan konteks tempat data tersebut dirender (HTML body, atribut HTML, JavaScript, CSS, atau URL).
| Konteks Render | Karakter Spesifik yang Harus Dikodekan | Contoh Fungsi / Pendekatan Aman |
|---|---|---|
| HTML Body | &, <, >, ", ', / | htmlspecialchars($input, ENT_QUOTES, 'UTF-8') |
| Atribut HTML | Semua karakter non-alphanumeric selain spasi, titik, koma, tanda hubung | Pemberian tanda kutip ganda wajib pada atribut + encoding khusus |
| JavaScript Variable | Unicode escape semua karakter selain alphanumeric (\uXXXX) |
Gunakan DOM API atau pustaka JSON serialization yang aman |
| URL / Hyperlink | URL encoding (percent-encoding) dan validasi skema (hanya http/https) |
encodeURI() atau validasi protokol secara ketat |
2. Implementasi Content Security Policy (CSP) yang Ketat
Content Security Policy (CSP) adalah header HTTP yang memungkinkan administrator situs web mendeklarasikan domain sumber konten mana yang diizinkan untuk dimuat dan dieksekusi oleh browser. CSP bertindak sebagai jaring pengaman jika terjadi kegagalan pada pengkodean output.
Contoh konfigurasi header CSP yang aman dan membatasi eksekusi skrip inline:
Content-Security-Policy: default-src 'self'; script-src 'self' https://trustedscripts.example.com; object-src 'none';Dengan menetapkan kebijakan di atas, browser akan menolak mengeksekusi skrip inline seperti tag <script>alert(1)</script> atau event handler inline (onload, onclick), yang merupakan vektor umum serangan XSS.
3. Penggunaan Cookie Aman (HttpOnly & Secure)
Sebagian besar serangan XSS bertujuan untuk mencuri sesi pengguna melalui akses ke objek document.cookie. Untuk memitigasi risiko ini, pastikan semua cookie sensitif (terutama session ID) diset dengan atribut keamanan tingkat lanjut:
- HttpOnly: Mencegah skrip sisi klien (seperti JavaScript) mengakses cookie melalui
document.cookie. Ini menghentikan pencurian sesi via XSS. - Secure: Memastikan cookie hanya dikirimkan melalui jalur terenkripsi HTTPS.
- SameSite (Strict atau Lax): Melindungi cookie dari serangan Cross-Site Request Forgery (CSRF).
4. Validasi dan Sanitasi Input Pengguna
Meskipun pengkodean output adalah pertahanan utama, validasi input bertindak sebagai lapis pertahanan tambahan (defense in depth). Terapkan prinsip allow-listing (daftar putih) daripada deny-listing saat memvalidasi input masuk.
Jika aplikasi Anda secara sah harus menerima input berformat HTML dari pengguna (misalnya pada aplikasi rich text editor), gunakan pustaka sanitasi HTML yang telah diuji keamanannya seperti DOMPurify untuk membersihkan elemen atau atribut berbahaya (seperti tag <script> atau atribut onerror) sebelum disimpan atau dirender.
5. Memanfaatkan Framework Modern yang Aman Secara Bawaan
Sebagian besar framework web modern modern seperti React, Angular, dan Vue.js memiliki mekanisme pengamanan otomatis terhadap XSS melalui pelolosan variabel secara default pada templating engine mereka.
Namun, pengembang harus tetap berhati-hati dan menghindari penggunaan fungsi yang mem-bypass mekanisme keamanan bawaan framework tersebut, seperti:
- React:
dangerouslySetInnerHTML - Angular:
bypassSecurityTrustHtml - Vue.js:
v-html
Jika fungsi-fungsi tersebut terpaksa digunakan, pastikan data yang dimasukkan telah melalui proses sanitasi yang ketat menggunakan pustaka terpercaya.