Sicherheit von Webanwendungen · Senior · Frage 69 von 75
Warum kann serverseitiges Rendern XSS wieder einführen, das das Client-Framework verhindern würde?
- 1Server-Code, der HTML-Strings baut, umgeht das Escaping des Frameworks
- 2Weil serverseitiges Rendern die CSP einer Seite immer abschaltet
- 3Weil Server in keiner Sprache HTML escapen können
Antwort zeigen
Richtige Antwort: Server-Code, der HTML-Strings baut, umgeht das Escaping des Frameworks
Erklärung
Handgeschriebenes HTML in Templates, Metadaten oder serialisiertem State braucht dieselbe Sorgfalt. Nutze die APIs des Frameworks statt String-Verkettung.