如何保護Angular 2 SPA免受XSS攻擊？

Question

我需要從XSS保護我的SPA。 我在服務器上使用Angular 2作爲客戶端，使用JAVA中的REST服務。

我知道Angular將模板中的所有輸入視爲不安全並消毒並轉義html標籤等。 還有使用X-XSS標頭在瀏覽器中構建的保護。

我需要在服務器端做一些保護嗎？處理從/發送到客戶端的數據？

如果是的話是否存在一個包含所有請求並從XSS保護它們的java庫？

其中一個要求是保存密碼，我想允許特殊字符，我該如何不更改密碼的字符，仍然是安全的？

謝謝！

Answer 1

永遠不要相信客戶！對於Java後端，您可以使用OWASP的AntiSamy項目。它可以幫助您避免客戶通過HTML/CSS提供惡意貨物代碼，這些惡意貨物代碼會保留在服務器上。