createTextNode, HTML enjeksiyonundan ve XSS'den tamamen güvenli midir?

Question

Tek sayfalık bir webapp üzerinde çalışıyorum. Doğrudan DOM düğümleri oluşturarak render yapıyorum. Özellikle, kullanıcı tarafından sağlanan tüm veriler, document.createTextNode("user data") ile metin düğümleri oluşturarak sayfaya eklenir.

Bu yaklaşım, HTML enjeksiyonu, siteler arası komut dosyası oluşturma (XSS) ve kullanıcıların yapabileceği diğer tüm kötü şeylerin olasılığını önler mi?

Answer 1

Düz metin düğümü oluşturur, bu yüzden evet, gidebildiği kadar.

Gerektiği her hangi bir kanaldan veri almak için güvensiz bir yöntem kullanarak bir XSS sorunu oluşturmak mümkün olsa da createTextNode.

örn.

document.createTextNode('<?php echo $_GET['xss']; ?>'); 

... ama tehlike PHP echo değil, JavaScript createTextNode şöyledir: Aşağıdaki güvensiz olurdu.