JavaScript · Junior · Pytanie 39 z 75
Dlaczego textContent jest bezpieczniejszy niż innerHTML do wyświetlania tekstu użytkownika?
- ✓Poprawna odpowiedź: Wstawia tekst bez zmian, bez parsowania HTML - XSS jest niemożliwy
- 2Automatycznie usuwa ze stringa wszystkie niebezpieczne słowa i znaki
- 3Jest szybszy, a oba są tak samo bezpieczne
Wyjaśnienie
el.innerHTML = userInput parsuje string jako markup, a <img src=x onerror=alert(1)> uruchamia skrypt. textContent pokazuje znaczniki jako tekst. Jeśli naprawdę potrzebujesz HTML, oczyść go sanitizerem (DOMPurify).