Глубокое погружение в Cross-Site Scripting (XSS) в Go-приложениях. Вы научитесь находить и эксплуатировать Reflected, Stored и DOM-based XSS, а также освоите современные методы защиты: от html/template до Content Security Policy.
Разбираемся с архитектурой безопасности браузера и тем, как JavaScript может стать оружием в руках хакера.
Изучаем самый распространенный тип XSS и то, как Go помогает (или нет) защититься от него.
Самый опасный тип XSS: когда полезная нагрузка сохраняется в базе данных.
XSS, который происходит полностью на стороне клиента, без участия сервера.
Тренируемся настраивать самый мощный современный рубеж защиты от XSS.
XSS через атрибуты HTML-элементов — href, event handlers и data-атрибуты.
Финальный модуль маршрута — сравнение всех методов защиты, реальные CVE и чеклист для code review.