Как защитить Angular 2 SPA от атак XSS?

Question

Мне нужно защитить свой SPA от XSS. Я использую Angular 2 для клиентской стороны и REST-сервисы в JAVA на сервере.

Я знаю, что Angular рассматривает все входные данные в шаблоне как небезопасные и дезинфицирует и ускоряет html-теги и т. Д. есть также защита, созданная в браузерах с использованием заголовка X-XSS.

Нужно ли защищать на стороне сервера? обрабатывать данные, отправленные с/клиенту?

если есть библиотека java, которая завершает все запросы и защищает их от XSS?

Один из запросов состоит в том, чтобы сохранить пароль, и я хочу, чтобы специальные символы, как я не могу изменить символы пароля и все еще быть в безопасности?

Спасибо!

Answer 1

Никогда не доверяйте клиенту! Для вашего Java Backend вы можете использовать, например, проект AntiSamy из OWASP. Это помогает вам, чтобы клиенты не поставляли код вредоносного груза через HTML/CSS, которые сохраняются на сервере.