タイプ0（DOMベース）JSPアプリケーションのXSS防止

Question

動的Webページに依存する標準のXSS攻撃とは異なり、DOMベースのXSS攻撃は悪意のあるコードをサーバーに送信する必要がないため、静的HTMLページ。私の謙虚な疑問は、開発者がそのような攻撃を防ぐことができるような方法でページを安全にコーディングできるかどうかです。使用するテクニックとは何ですか？私の信念は、ページが静的か動的かにかかわらず依頼が依然としてクライアントからサーバーに渡らなければならないということです。このため、サーバー側のチェックでこのような攻撃を検出することが可能かどうか疑問と思います。

Answer 1

悪意のあるコードがページに表示されるようにするには、エスケープされていない攻撃者提供のテキストをページに配置する必要があります。あなたがPHPでサーバーサイド、またはJavascriptでクライアントサイドでそれをやっているかどうかは関係ありません。あなたが受け取った入力をエスケープしてから出力する必要があります。

あなたのサーバー側のコードで行うjavascriptで同じ規律を使用してください。