Чем плохо использование dangerouslySetInnerHTML если я использую его чтобы вставить

Question

Чем плохо использование dangerouslySetInnerHTML если я использую его чтобы вставить

например &middot ?

Пользователь никак не влияет на это, есть массив, из него мапятся элементы и иногда вот так вставляются символы.

#frontend #javascript #programming #react.js #russian

0

17.06.2021

15 ответов

41 просмотр

Dmitr

Чем?

0

17.06.2021

Firstname Lastname

https://ru.wikipedia.org/wiki/%D0%9C%D0%B5%D0%B6%D1%81%D0%B0%D0%B9%D1%82%D0%BE%D0%B2%D1%8B%D0%B9_%D1%81%D0%BA%D1%80%D0%B8%D0%BF%D1%82%D0%B8%D0%BD%D0%B3

0

17.06.2021

Dmitr

Спасибо

0

17.06.2021

rnamod1 Автор вопроса

То есть желательно никогда не использовать dangerouslySetInnerHTML? Не существует безопасных случаев использования?

0

17.06.2021

Firstname Lastname

если данные с бэка приходят, то надо анализировать вероятность атаки таким путем. много факторов, здесь flow всей системы надо смотреть

0

17.06.2021

rnamod1 Автор вопроса

У меня такой случай: В реакт приложении массив, который никогда не меняется, из него создаются элементы и иногда, если элемент массива удовлетворяет некоторым условиям, вот так вставляются символы

0

17.06.2021

Артур Мудрик 🇮🇱🇷🇺

Если у вас некие данные приходят от пользователя и вы их потом где-то выводите, например, в поле Имя я напишу себе имя ‘Артур <script>alert(“xss”)</script>’, и потом где-то моё имя будет выводиться, то вот в таком случае dangerouslySetInnerHtml опасен, ибо html отобразится как нормальный хтмл и сработает скрипт, а если данные именно ваши, а не пользовательские, то всё ок

0

17.06.2021

Paul Shynkaruk

Так против этого его и испотльзуют

0

17.06.2021

Firstname Lastname

dangerouslySetInnerHTML против xss?

0

17.06.2021

Эдвард 🍓

dangerouslySetInnerHTML приводит к XSS, но никак с ним не борется