XSS (크로스사이트 스크립팅)

취약한 코드 (javascript)

// 취약한 코드 - 입력값을 innerHTML에 직접 삽입
const comment = req.query.comment;
document.getElementById('output').innerHTML = comment;

// React에서도 위험
return <div dangerouslySetInnerHTML={{ __html: userInput }} />

안전한 코드 (javascript)

// 안전한 코드 - 텍스트 노드 사용 또는 DOMPurify
import DOMPurify from 'dompurify';

// 텍스트로만 출력 (HTML 비허용)
document.getElementById('output').textContent = comment;

// HTML 허용 시 DOMPurify 정제
const clean = DOMPurify.sanitize(userInput);
element.innerHTML = clean;