SEC002 · javascript: URL

重大度: warning · カテゴリ: security

チェック内容

要素の属性(href / src / action / formaction)で、リテラル値が javascript: で始まるものを検出します。動的な値は検査しません。

なぜ重要か

javascript: URL は起動時に任意のスクリプトを実行します。XSS・安全でない遷移の経路であり、厳格な Content-Security-Policy 下でも動作しません。

修正方法

イベントハンドラや実際の URL を使います。

<!-- <a href="javascript:doThing()"> の代わりに -->
<button type="button" onclick={doThing}>実行</button>