Reihenfolge der Auswertung?

[tami]

hi Tom,

Hello,

{"foo":"\u003C/script\u003E\u003Cscript\u003Ealert(/XSS/)\u003C/script\u003E"}

Was ich noch nicht verstehe:
Warum codiert man dann für die Übertragung von X nach JavaScript nicht gleich alle nicht numerischen Ausgaben in Unicode. Das wird von HTML nicht interpretiert und JavaScript intgerpretiert es dann.

Offenbar reicht das hier: https://forum.selfhtml.org/?t=217757&m=1496934

mfg

tami