Mid⏱ 12 دقیقه1 بخش · 3 نکته

مرور سریع XSS (Cross-Site Scripting)

انواع حملهٔ تزریق اسکریپت مخرب به صفحات وب و روش‌های استاندارد جلوگیری.

0 از 3 نکته مرور شد0٪

فقط نکات طلایی ⭐

فهرست بخش‌ها

انواع XSS و دفاع0/3

انواع XSS و دفاع0/3

Stored، Reflected و DOM-based.

Stored در برابر Reflected XSS⭐ طلایی

در Stored XSS، اسکریپت مخرب در دیتابیس ذخیره و برای همهٔ بازدیدکنندگان اجرا می‌شود (مثلاً در یک کامنت)؛ در Reflected XSS، اسکریپت بلافاصله از طریق پارامترهای URL بازتاب داده می‌شود و فقط قربانی که آن لینک را کلیک کند آسیب می‌بیند.

\nhttp://site.com/search?q=<script>alert(document.cookie)</script>\n

💡 نکتهٔ مصاحبه:

برای هر دو نوع، مثال عملی (کامنت ذخیره‌شده در برابر پارامتر URL) در ذهن داشته باشید.

Output Encoding به‌عنوان دفاع اصلی⭐ طلایی

هر داده‌ای که از کاربر می‌آید و در HTML نمایش داده می‌شود باید Encode شود (مثلاً < به <) تا مرورگر آن را به‌عنوان کد اجرایی تفسیر نکند، نه فقط متن.

💡 نکتهٔ مصاحبه:

اکثر فریمورک‌های مدرن (React، Razor) به‌طور پیش‌فرض خروجی را Encode می‌کنند — دانستن این پیش‌فرض و خطرات دور زدن آن (مثل dangerouslySetInnerHTML) نشان‌دهندهٔ درک عمیق‌تر است.

⚠️ اشتباه رایج:

استفاده از innerHTML یا dangerouslySetInnerHTML برای نمایش مستقیم محتوای تولیدشده توسط کاربر بدون Sanitize.

Content Security Policy (CSP)مهم

یک هدر HTTP که مشخص می‌کند مرورگر فقط اسکریپت را از چه منابعی اجرا کند — حتی اگر مهاجم موفق به تزریق کد شود، CSP می‌تواند از اجرای آن جلوگیری کند.

\nContent-Security-Policy: script-src 'self'\n