XSS攻撃からAngular 2 SPAを保護するにはどうすればよいですか？

Question

XSSからSPAを保護する必要があります。 クライアント側ではAngular 2を使用し、サーバー上ではJavaでRESTサービスを使用します。

私は、Angularがテンプレートのすべての入力を安全でないものとして扱い、htmlタグなどをエスケープすることを知っています。 X-XSSヘッダーを使用するブラウザにも保護機能が組み込まれています。

サーバ側で何らかの保護を行う必要がありますか？クライアントから送信されたデータを処理しますか？

もしあれば、すべてのリクエストをラップしてXSSから保護するJavaライブラリがありますか？

パスワードを保存するのが1つの要求で、特殊文字を許可したいのですが、パスワードの文字を変更せずにセキュリティを確保するにはどうすればよいですか？

ありがとうございます！

Answer 1

クライアントを信頼しないでください！あなたのJavaバックエンドでは、例えばOWASPのAntiSamyプロジェクトを使用することができます。これは、クライアントがHTML/CSSを介して悪意のある貨物コードを提供しないようにするのに役立ちます。