Карточка Middle XSS и CSP обновлено
Контексты вывода
Вопрос
Назовите контексты вывода данных в HTML и правило для каждого.
Попробуйте сами
Ответьте про себя или вслух, потом откройте ответ и сверьтесь.
Показать ответ и разбор
Коротко
Текст HTML: экранировать & < " '. Атрибут: экранировать и брать в кавычки.
Ответ
Текст HTML: экранировать & < > " '. Атрибут: экранировать и брать в кавычки. URL: проверить схему, затем экранировать. Внутри script и обработчиков: не вставлять, передавать через data-атрибуты или экранированный JSON. CSS: не вставлять пользовательские значения.
Разбор
Одно экранирование на все случаи не работает: правила разные.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.