Как защититься от xss при парсинге css?

Question

[Апатий Черный]

Есть css, который юзер мне дает, я его оптимизирую и успешно отдаю обратно. Я хочу реализовать такую штуку: Юзер может восстановить историю и получить список обратно. Мне через js нужно отправить этот css код в поле. Отправляю примерно так - $css_input = `css`; Внутренние ` экранирую. В итоге будет так - $css_input = `hello \` `;
Я пытался внедрить xss - $css_input = `hello \\` ; alert(1);var a=\\`1\\`;
он не выполнится, потомучто последняя ковычка даст ошибку, но возможно есть способ обойти эту защиту.
Вопрос - безопасно ли так делать ?

Comments

[sim3x]

Какой санитайзер испольуете?

[Апатий Черный]

sim3x, не знаю даже что это такое

[sim3x]

Виталий Миронов, гугл в помощь

[Апатий Черный]

sim3x, никакой не юзаю. Юзаю ток Ace js

Answer 1

[htmlcssseo]

php: использовать htmlentities
на сервере: mod_security + фильтр comodo