nicht angemeldet
Hello,
{"foo":"\u003C/script\u003E\u003Cscript\u003Ealert(/XSS/)\u003C/script\u003E"}
Was ich noch nicht verstehe:
Warum codiert man dann für die Übertragung von X nach JavaScript nicht gleich alle nicht numerischen Ausgaben in Unicode. Das wird von HTML nicht interpretiert und JavaScript intgerpretiert es dann.
Was mir auch noch nicht klar ist, ist die Verarbeitungsreihenfolge.
1. HTML/JS-Dokument wird ausgeliefert.
2. HTML-Parser interpretiert das Markup
3. HTML-Parser ersetzt die Entities im HTML
4. HTML-Parser stürzt sich auf das JavaScript und übergibt es an den JS-Parser
Wann wird gerendert?
oder wie genau läuft das ab und/oder ist wie verschachtelt?
Die Reihenfolge hat doch einen gravierenden Einfluss auf die Escaping-Stategien.
Und noch eine Frage:
Ist es irgendwie schädlich oder falsch, wenn man Variablenwerte in JS immer in "" einschließt?
Liebe Grüße aus dem schönen Oberharz
Tom vom Berg
Der Martin