Как защититься от вектора атаки для XSS

Для защиты от XSS атак используйте следующие методы:

1. Экранирование данных (HTML-entities):

function escapeHtml(text) {
  const div = document.createElement('div');
  div.textContent = text;
  return div.innerHTML;
}

2. Content Security Policy (CSP) - ограничивает источники исполняемого кода:

Content-Security-Policy: default-src 'self'

3. HttpOnly и Secure флаги для кук:

Set-Cookie: sessionId=123; HttpOnly; Secure

4. Валидация и санитизация пользовательского ввода:

• Используйте DOMPurify для очистки HTML:

import DOMPurify from 'dompurify';
const clean = DOMPurify.sanitize(userInput);

5. Кодирование данных перед вставкой:

• В React используйте JSX, который автоматически экранирует данные
• В других фреймворках используйте соответствующие методы (v-html в Vue, [innerHTML] в Angular)

6. Отказ от innerHTML в пользу textContent там, где это возможно