Чому у React однаково може призвести до XSS?

Значення на кшталт javascript:alert(1) виконає код після кліку, тому треба перевіряти, що адреса використовує http: чи https:

React зовсім не екранує значення атрибутів

Бо елементи завжди відкриваються в новому вікні

Веб-безпека · Junior · Запитання 23 з 75

Чому `<a href={user.website}>` у React однаково може призвести до XSS?

✓Правильна відповідь: Значення на кшталт javascript:alert(1) виконає код після кліку, тому треба перевіряти, що адреса використовує http: чи https:
2React зовсім не екранує значення атрибутів
3Бо елементи <a> завжди відкриваються в новому вікні

Екранування не дає вийти за межі атрибута, але javascript: - це допустима схема URL. Перевіряйте протокол посилань, які вводять користувачі.