localstorage和sessionstorage本身不泄露，但存在xss漏洞时会被恶意脚本直接读取；检测重点是识别url注入、输入回显、dom型xss等攻击入口点，并审计敏感数据写入与未校验读取行为。
前端 localStorage 和 sessionStorage 本身不主动“泄露”，但一旦页面存在 XSS 漏洞，攻击者就能通过脚本直接读取其中所有数据——所以检测重点不是“存储是否加密”，而是“有没有被恶意脚本拿到”。
检查页面是否存在可利用的XSS入口点
只要能执行任意 JavaScript，localStorage 就等于裸奔。必须先确认攻击面是否敞开：
- 在 URL 中尝试注入
<script>alert(1)</script>、<img src="https://img.php.cn/?x-oss-process=image/resize,p_40" alt="如何检测HTML前端本地存储数据泄露漏洞">等 payload，观察是否触发 - 检查所有用户输入回显位置：搜索框结果、评论区、URL 参数反射（如
?q=xxx显示在页面上）、富文本编辑器输出 - 特别关注 DOM 型 XSS：用浏览器开发者工具的 Sources 面板搜索
location.search、location.hash、document.referrer，再顺藤摸瓜找是否被写入innerHTML或eval - 若使用了第三方库（如旧版 jQuery、marked、highlight.js），查其已知 XSS CVE，有些版本会把用户内容不加过滤地插入 DOM
审计 JS 代码中对 localStorage 的使用方式
不是所有读写都危险，但以下模式极易放大风险：
- 写入时存敏感字段：
localStorage.setItem('token', response.token)、localStorage.setItem('user', JSON.stringify(user))—— 这些值一旦被 XSS 获取，就等于交出登录态 - 读取后未校验直接用于 DOM：
document.body.innerHTML = localStorage.getItem('theme')，哪怕 theme 是字符串，也可能含恶意 HTML - 用
JSON.parse()处理前未做白名单校验：JSON.parse(localStorage.getItem('config'))若 config 被污染，可能触发原型链污染或间接执行 - 未清理过期/废弃 key：
localStorage.setItem('debug_api_key', 'xxx')在生产环境残留，会被爬虫或人工翻源码发现
排查 HTML 注释与源码映射文件暴露敏感 key
很多泄露不是运行时发生的，而是部署时“手滑”留下的痕迹：
- 右键“查看网页源代码”，Ctrl+F 搜索
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
