Przeglądarka i wydajność · Senior · Pytanie 53 z 75
Czym grozi wstawianie danych serwera do skryptu inline w ten sposób?
<script>
window.__STATE__ = ${JSON.stringify(state)};
</script>- ✓Poprawna odpowiedź: String zawierający
</script>przedwcześnie zamyka tag, a reszta działa jako HTML kontrolowany przez atakującego - 2
JSON.stringifynie serializuje zagnieżdżonych obiektów - 3Skrypty inline nie mogą definiować zmiennych globalnych
Wyjaśnienie
Escapuj < jako \u003c przy osadzaniu JSON w HTML albo umieść dane w skrypcie type="application/json" i je sparsuj.