layui漏洞

layui漏洞：一个前端框架的“裸奔”时刻

2023年10月，一个编号为CNVD-2023-69453的漏洞让不少老程序员心头一紧。不是Apache Log4j那种核弹级危机，也不是Spring的致命反序列化。是layui，那个曾经被无数后台管理系统当“默认皮肤”的前端框架，被爆出存储型XSS漏洞。攻击者只需在某个输入框里塞一段精心构造的代码，就能在管理员打开页面时，悄无声息地偷走会话令牌。

这事有意思的地方在于，layui官方在GitHub上早已停止维护。最后一次commit停在2021年，作者贤心在文档首页写着“layui 是一套经典模块化前端框架”。经典，有时候就意味着“陈旧”。漏洞报告挂在issues区两个月，没人回应，像一栋没有物业的老楼，电路老化，但住户还在用电。

我翻了一下自己的旧项目，2018年给某国企做的数据看板，用的就是layui。当时选它不是因为技术先进，纯粹因为文档全、样式清爽、还有现成的表格和弹层组件。那时候前端圈还没卷到“组件库”满天飞，layui的模块化写法让后端同事也能上手改页面。这种“低门槛”正是它流行的原因——但也是漏洞滋生的温床。

具体到那个XSS漏洞，问题出在layui的table组件对单元格内容的转义处理上。开发者如果直接从接口拿数据渲染，不手动做安全过滤，恶意字符串就会被当作HTML解析。更麻烦的是，很多后台系统把layui的tree、transfer这些组件用在内网管理页，觉得“内网就安全”，结果攻击者只要通过钓鱼邮件或者一个被攻破的普通账号，就能把payload注入到管理员视图里。

我见过一个真实案例。某物流公司的调度系统，用layui做的排班表，员工能提交备注。有人把备注写成``，结果主管一打开排班页面，弹出自己的session ID。虽然没造成大损失，但那次之后，他们把所有前端框架都换成了Vue+Element，理由就一句话：“不想再给老代码擦屁股。”

layui的问题不是孤例。任何停止维护的开源项目，时间久了都会变成数字世界的“危房”。但有意思的是，直到2024年，依然有大量中小企业的内部系统在跑layui。为什么？因为能用。没坏到不能跑，就没人愿意掏钱重构。这背后是现实的成本逻辑——但安全账不能这么算。一个XSS漏洞，被利用的成本可能只有几行代码，而修复的成本，可能是整个前端的重写。

如果你还在用layui，我的建议很直白：要么立刻给所有动态渲染的字段加一层`text()`输出，要么干脆把前端框架升级到有维护的版本。别信“内网就没事”那套，攻击者最爱的就是这种松懈。框架本身没错，错的是我们总以为“经典”等于“安全”。

代码会老，漏洞不会自动消失。它们只是安静地躺在那里，等某个深夜，等某个粗心的输入框。