Dlaczego w React wciąż może prowadzić do XSS?

Wartość w rodzaju javascript:alert(1) uruchomi kod po kliknięciu, więc trzeba sprawdzać, czy adres używa http: lub https:

React w ogóle nie koduje wartości atrybutów

Bo elementy zawsze otwierają się w nowym oknie

Bezpieczeństwo aplikacji webowych · Junior · Pytanie 23 z 75

Dlaczego `<a href={user.website}>` w React wciąż może prowadzić do XSS?

✓Poprawna odpowiedź: Wartość w rodzaju javascript:alert(1) uruchomi kod po kliknięciu, więc trzeba sprawdzać, czy adres używa http: lub https:
2React w ogóle nie koduje wartości atrybutów
3Bo elementy <a> zawsze otwierają się w nowym oknie

Kodowanie chroni przed wyjściem poza atrybut, ale javascript: to poprawny schemat URL. Sprawdzaj protokół linków podawanych przez użytkowników.