Стан із серверного рендерингу вбудовується так: window.__STATE__ = ${JSON.stringify(state)} . У чому проблема?

Рядок із закриває тег раніше й дає XSS; < треба екранувати (наприклад, як \u003c)

JSON.stringify видаляє всі рядки

Проблеми немає, JSON завжди безпечний усередині тегу script

Веб-безпека · Middle · Запитання 12 з 75

Стан із серверного рендерингу вбудовується так: `<script>window.STATE = ${JSON.stringify(state)}</script>`. У чому проблема?

✓Правильна відповідь: Рядок із </script> закриває тег раніше й дає XSS; < треба екранувати (наприклад, як \u003c)
2JSON.stringify видаляє всі рядки
3Проблеми немає, JSON завжди безпечний усередині тегу script

HTML-парсер бачить </script> раніше, ніж виконується JavaScript. Фреймворки й серіалізатори, створені для цього, екранують <, > і /.