Веб-безпека · Senior · Запитання 69 з 75
Чому серверний рендеринг може повернути XSS, від якого захистив би клієнтський фреймворк?
- ✓Правильна відповідь: Код, що збирає HTML-рядки, вставляє JSON у
<script>чи задає сирий HTML на сервері, оминає екранування фреймворку - 2Бо SSR завжди вимикає CSP
- 3Бо сервери не вміють екранувати HTML
Пояснення
Рукописний HTML у шаблонах, метаданих чи серіалізованому стані потребує тієї самої уваги. Використовуйте API фреймворку замість конкатенації рядків.