xss - JSP アプリケーションのタイプ 0 (DOM ベース) XSS 防止

Question

動的な Web ページに依存する標準の XSS 攻撃とは異なり、DOM ベースの XSS 攻撃では悪意のあるコードをサーバーに送信する必要がないため、静的な HTML ページも使用できます。私の謙虚な質問は、開発者がそのような攻撃を防ぐことができるような方法でページを安全にコーディングできるかどうかです. 使用するテクニックは何ですか？ページが静的であるか動的であるかに関係なく、リクエストはクライアントからサーバーに渡されなければならないというのが私の考えです。

Answer 1

悪意のあるコードがページに侵入するには、エスケープされていない、攻撃者から提供されたテキストをページに配置する必要があります。PHPを使用してサーバー側で実行するか、Javascriptを使用してクライアント側で実行するかは関係ありません。受信した入力を出力に変換する前に、エスケープする必要があります。

サーバーサイドコードで行うのと同じ規律をJavaScriptで使用します。