OWASP 应用程序安全验证标准 4.0.3

确认来自所见即所得编辑器或类似工具的所有不受信任的 HTML 输入已通过 HTML 消毒库或框架功能正确消毒。(C5)

验证非结构化数据已被清理，以执行安全措施，例如允许的字符和长度。

验证应用程序在将用户输入传递给邮件系统之前是否进行了清理，以防止 SMTP 或 IMAP 注入。

确保应用程序避免使用 eval() 或其他动态代码执行功能。如果没有替代方案，任何包含的用户输入必须在执行前进行清理或沙箱处理。

通过确保任何被包含的用户输入都经过清理或沙箱处理，来验证应用程序防护模板注入攻击的能力。

验证应用程序是否能够防护 SSRF 攻击，通过验证或清理不可信的数据或 HTTP 文件元数据，如文件名和 URL 输入字段，并使用协议、域名、路径和端口的允许列表。

验证应用程序是否对用户提供的可缩放矢量图形（SVG）可脚本内容进行清理、禁用或沙箱处理，特别是与由内联脚本和 foreignObject 引起的跨站脚本（XSS）相关的内容。

验证应用程序是否对用户提供的可脚本或表达式模板语言内容（如 Markdown、CSS 或 XSL 样式表、BBCode 或类似内容）进行清理、禁用或沙箱处理。