Как React защищает от XSS

React автоматически экранирует все данные, вставленные в JSX перед рендерингом. Это означает, что любые строки, переданные в фигурных скобках, будут преобразованы в текст, а не интерпретированы как HTML.

const userInput = '<script>alert("XSS")</script>';
return <div>{userInput}</div>; // Безопасно - отобразится как текст

Для случаев, когда нужно вставить HTML (dangerouslySetInnerHTML), React требует явного указания:

<div dangerouslySetInnerHTML={{__html: userControlledHtml}} />

Но даже в этом случае современные браузеры имеют встроенную защиту от выполнения скриптов через innerHTML. Лучше избегать dangerouslySetInnerHTML и использовать санитизацию библиотеками типа DOMPurify.