Bezpieczeństwo aplikacji webowych · Middle · Pytanie 11 z 75
Aplikacja wstawia nazwę użytkownika do atrybutu bez cudzysłowów: <div title={{name}}>. Czym to jest gorsze od atrybutu w cudzysłowach?
- 1Nie ma różnicy
- 2Atrybuty bez cudzysłowów są ignorowane przez przeglądarki
- ✓Poprawna odpowiedź: Spacja w wartości kończy atrybut, więc atakujący może dodać nowe atrybuty, np.
onmouseover=...
Wyjaśnienie
Atrybut bez cudzysłowów może złamać wiele znaków. Zawsze ujmuj atrybuty w cudzysłowy i stosuj kodowanie dla atrybutów.