JavaScript · Junior · Frage 39 von 75
Warum ist textContent zum Anzeigen von Nutzertext sicherer als innerHTML?
- 1Es fügt Text unverändert ein, ohne HTML zu parsen - XSS ist unmöglich
- 2Es entfernt automatisch alle gefährlichen Wörter und Zeichen aus dem String
- 3Es ist schneller, beide sind aber gleich sicher
Antwort zeigen
Richtige Antwort: Es fügt Text unverändert ein, ohne HTML zu parsen - XSS ist unmöglich
Erklärung
el.innerHTML = userInput parst den String als Markup, und <img src=x onerror=alert(1)> führt ein Skript aus. textContent zeigt Tags als Text an. Braucht man wirklich HTML, reinigt man es mit einem Sanitizer (DOMPurify).