ユーザが生成したコンテンツがない場合、ウェブサイトはXSS攻撃から安全ですか？

Question

私は、トークンを格納するために必要な認証システムを使用する小さなWebサイトを作成しています。それをlocalStorageに保存することは、この段階では私にとって最も便利なオプションですが、わかっているように、これはXSS攻撃に対して潜在的に脆弱です。セキュリティ要件はそれほど厳密ではありません（攻撃が成功すると特に重要なデータは公開されません。ログインは単にサイト上で誰が何をしたのかを把握するために使用されます）。ウェブサイト（コメントなどはありません）とにかくAngular.jsを通過しています。 localStorageを単独で使用するのは合理的に安全だと思いますか？それとも、セキュリティを強化するためにcookieの横でそれを使用しますか？ありがとう！

Answer 1

ユーザのコンテンツを表示していない場合（ログインしている人を表示するためのユーザログインでさえも）、標準のXSS攻撃はあなたにとって問題ではありません。

お客様は、最も簡単なユーザー生成コンテンツでもないことを確認してください。いくつかのデータソースからいくつかのデータを表示している場合、これは信頼できないものでもあります。たとえば、ユーザーログインを表示する場合は、使用前にログインが適切にサニタイズされていることを確認する必要があります。ユーザーのログインには攻撃コードが含まれる可能性があります。 Angular.jsは$ sanitizeの使い方であなたを助けることができます。また、常に自己XSSのリスクがあることに注意してください。

LocalStorageはお勧めです。トークンの使用が安全であることを確認する必要があります。有効期限が切れているか無効になっている可能性があります（Angular.jsアプリケーションが起動したときに、APIを呼び出してトークンを確認できます）。