createTextNodeはHTMLインジェクションとXSSから完全に安全ですか？

Question

私は1ページのwebappで作業しています。私はDOMノードを直接作成してレンダリングを行っています。特に、document.createTextNode("user data")のテキストノードを作成することによって、ユーザーが入力したすべてのデータがページに追加されます。

このアプローチは、HTML注入、クロスサイトスクリプティング（XSS）、およびユーザーが行う可能性のあるその他の悪い事態を回避しますか？

Answer 1

プレーンテキストノードが作成されます。

XSSの問題を作成するには、安全でない方法を使用して、入力されているどのチャネルからでもcreateTextNodeにデータを取得することができます。

document.createTextNode('<?php echo $_GET['xss']; ?>'); 

...しかし、危険性はPHP echo、ないのJavaScript createTextNodeからである：以下は、危険なだろう。