Browser und Performance · Junior · Frage 64 von 75

Wenn man von Nutzern gelieferten HTML-Code einfügen muss (etwa formatierte Kommentare), was sollte man tun?

1<script>-Tags mit einem regulären Ausdruck entfernen
2Ihn mit innerHTML in einem try/catch einfügen
3Ihn mit einer Bibliothek wie DOMPurify bereinigen

Antwort zeigen

Richtige Antwort: Ihn mit einer Bibliothek wie DOMPurify bereinigen

Erklärung

Regex-Filter übersehen Vektoren wie <img src=x onerror=...> oder <svg onload>. Ein echter Sanitizer parst HTML und behält nur eine Allowlist.

Zum Weiterlesen

Teste dich selbst

Mach den Test Browser und Performance · Junior: Fragen und Antworten werden gemischt, und am Ende wartet eine Übersicht der Fehler.

Diesen Test machen