Wie verhinderst du Cross-Site-Scripting in einer modernen Single Page App?

Render nicht vertrauenswürdige Daten als Text, nie als Markup: lass das Framework escapen und meide innerHTML, dangerouslySetInnerHTML und v-html. Musst du HTML annehmen, sanitize es serverseitig oder mit einem gepflegten Sanitizer, bevor es das DOM berührt. Ergänz eine Content Security Policy mit Nonces, damit Inline-Script gar nicht erst infrage kommt, validier URLs, damit kein javascript-Schema in einem href landet, und halt Tokens aus jedem Speicher raus, den ein Script lesen kann.

Die Basis ist, dass alles Nichtvertrauenswürdige als Text gerendert wird, und das macht das Framework für mich. Die eigentliche Arbeit ist also, die Stellen zu prüfen, die sich davon abmelden. Jedes innerHTML, jedes dangerouslySetInnerHTML, jedes Templating, das rohes Markup schreibt, plus die Sinks, die Leute vergessen: ein href, das aus Nutzereingaben gebaut wird, kann ein javascript-Schema tragen, und ein style- oder srcdoc-Attribut ist genauso gefährlich. Braucht ein Feature wirklich Rich Text, etwa nutzergeschriebene Beschreibungen, sanitize ich mit einer gepflegten Bibliothek und einer Allowlist, statt selbst Tags zu filtern, und ich mache das so nah wie möglich an der Speicherung. Obendrauf will ich eine Content Security Policy mit einem Nonce, damit Inline-Script schlicht nicht ausgeführt wird, was die meisten Restbugs in eine blockierte Konsolenmeldung statt in einen Vorfall verwandelt. Und Session-Tokens halte ich in HttpOnly-Cookies, denn wenn doch mal ein Payload durchkommt, sollte der Schadensradius nicht die Session des Nutzers einschließen.