XSS: что это
Коротко
XSS: cross-Site Scripting: выполнение чужого скрипта в контексте вашего сайта. Хранимая (вредный код в базе), отражённая (приходит в запросе и сервер вставляет в ответ) и DOM-based (клиентский код сам вставляет данные в опасный приёмник).
Определение
Cross-Site Scripting: выполнение чужого скрипта в контексте вашего сайта. Хранимая (вредный код в базе), отражённая (приходит в запросе и сервер вставляет в ответ) и DOM-based (клиентский код сам вставляет данные в опасный приёмник).
Подробнее
Защита: экранирование по контексту, санитайзер, CSP, HttpOnly-куки, Trusted Types.
Из урока «Безопасность фронтенда: XSS, CSRF, CSP»
Фронтенд-разработчика на собесе почти всегда спрашивают про XSS, CSRF и CORS. Если токен лежит в localStorage и отправляется в Authorization, CSRF не страшен (браузер сам его не приложит), зато XSS сразу его украдёт. Хранить сессию в localStorage «чтобы не было CSRF» и забыть про XSS.
Читать урок целикомВопросы по теме с собеседований
Запомните, а не прочитайте
В тренажёре карточка вернётся, когда начнёт забываться. А билеты по Браузер и DOM проверят, что термин понятен в деле.