XSS на странице для внутреннего использования?

Question

[komarevtsev]

Я хочу использовать тег <code> на странице внутреннего использования для просмотра пользовательских данных.

Насколько этот тег защитит от xss?

Answer 1

[Stalker_RED]

Если кроме тега <code> нет никакого экранирования или фильтрации, то совсем не поможет. Никто не мешает же написать </c⁠ode>alert(1);

А если есть нормальное экранирование вывода то и <code> не обязателен.

Answer 2

[sim3x]

Нинасколько

Санитайзинг ввода пользователя производится до сохранения в БД

Comments

[Stalker_RED]

Да, общее правило "фильтруем при вводе, экранируем при выводе", но в ряде случаев выгоднее писать в базу как есть, а уже при выводе фильтровать/экранировать. Взять к примеру ответы и комментарии на тостере.