आधुनिक single page app में cross site scripting कैसे रोकते हैं?

अविश्वसनीय डेटा को markup नहीं, text की तरह render करें: framework को escape करने दें और innerHTML, dangerouslySetInnerHTML तथा v-html से बचें। अगर HTML लेना ही पड़े तो DOM तक पहुंचने से पहले उसे सर्वर पर या किसी maintained sanitizer से साफ करें। nonces के साथ Content Security Policy जोड़ें ताकि inline script विकल्प ही न रहे, URLs जांचें ताकि javascript scheme किसी href में न पहुंचे, और tokens को ऐसी जगह से दूर रखें जिसे कोई भी script पढ़ सकती है।

बुनियाद यह है कि हर अविश्वसनीय चीज़ text की तरह render हो, जो framework मेरे लिए कर देता है। तो असली काम उन जगहों की जांच है जो इससे बाहर निकल जाती हैं। कोई भी innerHTML, कोई भी dangerouslySetInnerHTML, कोई भी templating जो कच्चा markup लिखती है, और वे sinks जो लोग भूल जाते हैं: यूज़र के input से बना href कोई javascript scheme ले जा सकता है, और style या srcdoc attribute भी उतना ही खतरनाक है। अगर किसी feature को सच में rich text चाहिए, मसलन यूज़र की लिखी हुई descriptions, तो मैं खुद tags छानने की कोशिश करने की जगह किसी maintained library और allow list से sanitize करता हूं, और यह जितना हो सके storage के पास करता हूं। इसके ऊपर मुझे nonce वाली Content Security Policy चाहिए ताकि inline script चले ही नहीं, जिससे बची खुची ज़्यादातर गड़बड़ियां किसी breach की जगह console में एक blocked संदेश बन जाती हैं। और मैं session tokens HttpOnly cookies में रखता हूं, क्योंकि अगर कोई payload उतर ही जाए तो blast radius में यूज़र का session नहीं होना चाहिए।