Помогает ли библиотека dompurify предотвратить xss атаку когда используешь dangerouslySetInnerHTML?

Question

[jedifa]

Подскажите пожалуйста, к примеру с сервера приходит html код, в react нужно его отрендерить, рендер с происходит при помощи dangerouslySetInnerHTML

<div dangerouslySetInnerHTML={{__html: //html который пришел с сервера}} />

но как написано в документации react, dangerouslySetInnerHTML опасен потому что может быть xss-атака,
на ютубе нашел видео, как можно обезопасится и там используется библиотека DOMPurify,

<div dangerouslySetInnerHTML={{__html: DOMPurify.sanitize(//html который пришел с сервера)}} />

Вопрос в том что данная библиотека полностью предотвращает xss-атаки или все также небезопасно?

Comments

[Даниил Чистяков]

Первое предложение в описании:
DOMPurify is a DOM-only, super-fast, uber-tolerant XSS sanitizer for HTML, MathML and SVG.

[jedifa]

Даниил Чистяков,

uber-tolerant XSS sanitizer

значит все же предотвращает?

[Даниил Чистяков]

jedifa, да, она была создана, чтобы предотвращать XSS-атаки, связанные со вставкой HTML напрямую

[jedifa]

Даниил Чистяков, Благодарю!

Answer 1

[Даниил Чистяков]

"DOMPurify is a DOM-only, super-fast, uber-tolerant XSS sanitizer for HTML, MathML and SVG".
Она была создана, чтобы предотвращать XSS-атаки, связанные со вставкой HTML напрямую.