Что такое XSS-атаки
XSS (Cross-Site Scripting) — это уязвимость, при которой внедряется вредоносный JavaScript-код на сайт. Он выполняется в браузере других пользователей и может украсть куки, перенаправить на фишинговую страницу или что угодно.
Как это происходит:
Пользователь вводит данные (например, комментарий), а сайт выводит их на страницу без обработки. Если вместо текста вставить <script>...</script>, браузер выполнит его как код.
Пример опасного сценария:
<!-- Пользователь ввёл: <script>украстьДанные()</script> -->
<div><?= $_GET['комментарий'] ?></div> <!-- Код выполнится! -->
Как защититься:
- Всегда экранируйте ввод перед выводом на страницу (в PHP — htmlspecialchars())
- Не вставляйте данные напрямую в HTML, JS или атрибуты без проверки
- Используйте Content Security Policy (CSP) как дополнительную защиту
- Храните куки с флагами HttpOnly и Secure
XSS — одна из распространённых уязвимостей. Но её легко избежать, если никогда не доверять данным от пользователя.
@ZeniFlow - подписаться.
