yaklang/xss-cross-site-scripting

O que xss-cross-site-scripting faz?

Manual de XSS. Use quando o conteúdo controlado pelo usuário atinge HTML, atributos, JavaScript, sinks DOM, uploads ou caminhos de renderização em múltiplos contextos.

Contextos de Saída

HTML

• Codifique entidades HTML (ex.: < → <, > → >).
• Use sanitizadores de HTML confiáveis como DOMPurify.

Atributos HTML

• Codifique atributos: escape ", ', <>.
• Evite URLs com javascript:.

JavaScript

• Use codificação Unicode ou hex para strings seguras.
• Evite eval(), innerHTML, document.write.

Sinks DOM

• Prefira textContent em vez de innerHTML.
• Use createElement() e appendChild().

Uploads

• Valide tipos de arquivo e conteúdo.
• Sirva arquivos com cabeçalho Content-Disposition: attachment.
• Use um domínio ou subdomínio separado para uploads.

Mitigação Recomendada

• Always use a Content Security Policy (CSP).
• Aplique codificação de saída (escapamento) para o contexto específico.
• Sanitize entradas com um analisador de HTML confiável.
• Nunca insira dados não confiáveis em contextos JavaScript.

Referências

• OWASP XSS Prevention Cheat Sheet
• MDN Web Security: XSS