Какая опасность в динамическом подключении скрипта?

Question

[Денис Денис]

Всем привет!
Есть jacascript виджет/модуль. У него есть метод init() и render().
Для чего? В init() запрашиваю json с сервера данные. В render() - показываю на странице.
Какие проблемы с безопасностью могут возникнуть, если в init() засунуть тег <script> с запросом на полифилл, потому что, предположим, он нужен только моему модулю?

upd. ок, возможен XSS. Как такое сделать безопасно?

Answer 1

[nirvimel]

Если теги не фильтруются и спец.символы не экранируются, то возможен XSS.

Надо экранировать символы, например, так по-простому, или специальными библиотеками, типа этой.

Comments

[Денис Денис]

как это сделать безопасно?
спасибо.

[nirvimel]

Денис Денис: Пример решения дописал в ответ.