XSS и CSRF в CMS — что реально стоит делать дальше

[ECMSHOW]

Все знают, что XSS и CSRF — главные головные боли для любой CMS, но если копнуть глубже, то ситуация не такая однозначная. Многие методы защиты из прошлых лет уже либо сами уязвимы, либо замедляют систему без пользы. Сейчас стоит сосредоточиться на правильной фильтрации и проверке input’ов с помощью современных библиотек, которые умеют экранировать HTML и JS везде, где это нужно. Например, Content Security Policy (CSP) стал почти must-have — если его грамотно настроить, многие XSS-атаки просто не пройдут.

[DEremite]

По делу — CSP реально подрубает профиль безопасности, но без нормальной валидации на сервере толку мало. Фильтрация должна быть контекстно-зависимой, а не тупо блокировать теги или скрипты. Ну и про современные библиотеки не забывать, они умеют и экранировать, и предотвращать много подводных камней старого подхода.