REST API - JSONコンテンツをHtmlEncodedにする必要がありますか？

Question

私たちは、フロントエンドアプリケーションとasp.netコアウェブAPIバックエンドを備えた設定を持っています。 APIはjsonで応答します。 jsonプロパティをhtmlエンコードする必要がありますか？

私は両方の理由を見ることができます：プロとcon。

一方で、REST APIはクライアントに依存しないようにする必要があります（特に、htmlは特に気にする必要はありません）。一方、クライアント側のXSS予防のみに頼るのは少し危険です。

思考？

Answer 1

いくつかのポイント：

• 異なるエンコーディングが異なるコンテキストのために必要とされます。すべてのデータをhtmlエンコーディングで焼くことは、特にXSSに対して役に立たないJavascriptコンテキストに何らかの形で書き込むと、必ずしも良いとは限りません。だからこのような観点から、私はJSONをデータとして扱い、JSONエンコーディングとhtmlだけを必要とします。もちろん、クライアント側のデータバインディングなどは、エンコーディングや安全なバインディングを処理する必要があります。
• JSONがAPI呼び出しで返された場合、応答のコンテンツタイプは非常に重要です。 などがある場合、jsonエンドポイント自体はXSSに対して脆弱です。
• たとえば、変数を初期化するためにJSONデータをスクリプトブロックに書き込むと、トリッキーになります。次のことを考えてみましょう：

 
<script> 
    var data = "{'key1': 'val1', 'key2': 'val2'}"; 
</script> 

これは正常に見えるが、これを見てみましょう：

 
<script> 
    var data = "{'key1': 'val1', 'key2': '</script><script>alert(1)</script>'}"; 
</script> 

それは単純な文字列のように見えますが、ブラウザは主にHTMLパーサです。それは<スクリプト>と< /スクリプト>の間のものを見つけ、それをJavascriptとして実行します。文字列内の最初の</script>が最初の<script>タグとペアになり、文字列の最初のオープンタグが完全に新しいスクリプトを開始し、XSSとなります。

JSONをJavaScriptの一部としてhtmlに書き込む予定がある場合（非常に一般的な用途）、残念なことにJSONコンテンツをHTMLにエンコードする必要があります。これを避け、データを別々にダウンロードする方がはるかに優れています。

Answer 2

ええと、それについて考える必要がありましたが、私はやります： JSONの上に追加のHTMLエンコーディングはありません。適切なコンテンツタイプを設定していることを確認してください。特に安全でないと思われる「安全でない」データフィールドがある場合は、JSONを一般的に破棄することなく、ドキュメンテーション内のHTMLフィールドを、HTMLエンコードとして指定することができます。

だから、次の行の両方が細かいです：

{'data': '<script>alert(1)</script>'} # Normal, how I would do it 
{'data': '&lt;script&gt;alert(1)&lt;/script&gt;'} # unsafe data field which is documented as html encoded