**Escaping** - це перетворення спеціальних символів так, щоб браузер не сприймав їх як HTML або JavaScript. Наприклад: ```txt < перетворюється на < > перетворюється на > " перетворюється на " ' перетворюється на ' & перетворюється на & ``` Тобто замість виконання HTML браузер просто показує текст. Було (як небезпечний вміст): ```txt ``` Після escaping (як текст, який безпечно показати): ```txt <script>alert('test')</script> ``` Браузер покаже це як звичайний текст. --- ## Escaping залежить від контексту Важливий момент: екранування залежить від того, **куди саме** вставляються дані. Є різні контексти: ### HTML body ```html

USER_INPUT

``` Тут потрібно HTML-escaping. ### HTML attribute ```html ``` Тут треба екранувати лапки та інші символи. ### JavaScript context ```html ``` Це небезпечний контекст. Краще не вставляти user input напряму в JavaScript. ### URL context ```html link ``` Тут треба перевіряти протокол і структуру URL. Наприклад, для посилань краще дозволяти тільки: ```txt https:// http:// mailto: ``` І блокувати небезпечні схеми. --- **Sanitization** - це очищення HTML від небезпечних елементів та атрибутів. Escaping перетворює HTML у текст. Sanitization дозволяє залишити частину HTML, але прибрати небезпечне. Наприклад, користувачу можна дозволити: ```html bold italic link ``` Але заборонити: ```html ``` Скрипт без правильного nonce не виконається. Див. [Content Security Policy (CSP) - MDN](https://developer.mozilla.org/en-US/docs/Web/HTTP/Guides/CSP).

XSS

XSS