क्या HTML इंजेक्शन और एक्सएसएस से createTextNode पूरी तरह से सुरक्षित है?

Question

मैं एक पेज वेबपैप पर काम कर रहा हूं। मैं सीधे डोम नोड्स बनाकर प्रतिपादन कर रहा हूं। विशेष रूप से, document.createTextNode("user data") के साथ टेक्स्ट नोड्स बनाकर सभी उपयोगकर्ता द्वारा प्रदत्त डेटा पृष्ठ में जोड़ा जाता है।

क्या यह दृष्टिकोण एचटीएमएल इंजेक्शन, क्रॉस साइट स्क्रिप्टिंग (एक्सएसएस) की किसी भी संभावना से बचता है, और अन्य सभी बुरी चीजें जो उपयोगकर्ता कर सकते हैं?

Answer 1

यह एक सादे पाठ नोड बनाता है, इसलिए हाँ, जहां तक ​​यह जाता है।

हालांकि किसी भी चैनल से डेटा प्राप्त करने के लिए एक असुरक्षित विधि का उपयोग कर XSS समस्या बनाना संभव है, हालांकि यह createTextNode में इनपुट हो रहा है।

उदा। निम्नलिखित असुरक्षित होगा:

document.createTextNode('<?php echo $_GET['xss']; ?>'); 

... लेकिन खतरे पीएचपी echo, नहीं जावास्क्रिप्ट createTextNode से है।