Có phải createTextNode hoàn toàn an toàn với HTML injection & XSS không?

Question

Tôi đang làm việc trên một trang web đơn. Tôi đang thực hiện kết xuất bằng cách trực tiếp tạo các nút DOM. Đặc biệt, tất cả dữ liệu do người dùng cung cấp được thêm vào trang bằng cách tạo các nút văn bản với document.createTextNode("user data").

Cách tiếp cận này có tránh được bất kỳ khả năng nào của HTML injection, cross scripting (XSS) và tất cả những điều xấu khác mà người dùng có thể làm không?

Answer 1

Nó tạo ra một nút văn bản thuần túy, vì vậy có, theo như nó đi.

Có thể tạo ra một vấn đề XSS bằng cách sử dụng một phương pháp không an toàn để lấy dữ liệu từ bất kỳ kênh nào mà nó đang được nhập vào vào createTextNode.

ví dụ: Sau đây sẽ là không an toàn:

document.createTextNode('<?php echo $_GET['xss']; ?>'); 

... nhưng nguy hiểm là từ PHP echo, không phải là hoạt Javascript createTextNode.