Bezpieczeństwo aplikacji webowych · Middle · Pytanie 1 z 75
Wartość jest kodowana dla HTML i wstawiana do skryptu inline: <script>var q = '{{value}}';</script>. Dlaczego to wciąż niebezpieczne?
- 1Bo skrypty inline nie mogą zawierać zmiennych
- ✓Poprawna odpowiedź: Kodowanie HTML nie chroni kontekstu tekstu w JavaScript; wartość wymaga kodowania dla JS lub przekazania w inny sposób
- 3Bo kodowanie HTML zamienia cudzysłowy na spacje
Wyjaśnienie
Każdy kontekst ma własne reguły kodowania. Najbezpieczniej go unikać: umieść dane w atrybucie data- lub bloku JSON i odczytaj je ze swojego skryptu.