Выбор ответа Middle XSS и CSP обновлено
DOM-based XSS
Вопрос
Какой код содержит DOM-based XSS?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: el.innerHTML = decodeURIComponent(location.hash.slice(1)). Данные из location.hash попадают в innerHTML и разбираются как HTML прямо в браузере, сервер их даже не получает. textContent вставляет текст, JSX экранирует даже значение из hash, экранированный вывод на сервере безопасен, а JSX…
Варианты ответа
el.textContent = location.hash.slice(1)el.innerHTML = decodeURIComponent(location.hash.slice(1))правильный ответres.send(escapeHtml(req.query.q))в обработчике на сервере<div>{decodeURIComponent(location.hash)}</div>в React
Разбор
Данные из location.hash попадают в innerHTML и разбираются как HTML прямо в браузере, сервер их даже не получает. textContent вставляет текст, JSX экранирует даже значение из hash, экранированный вывод на сервере безопасен, а JSX экранирует текст.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.