XSS מוסבר — כשאתר מריץ קוד של תוקף בדפדפן שלכם

אם SQL Injection היא הזרקה ל-DB, אז XSS היא הזרקה ל-דפדפן. התוקף מצליח להכניס קוד JavaScript לעמוד, והוא רץ אצל כל מי שצופה בו.

דוגמה פשוטה

נניח אתר תגובות שמציג כל מה שכתבתם. אם כתבתי בתגובה:

<script>alert('נפרצת!')</script>

ואין הגנה — הקוד ירוץ אצל כל מי שיקרא את התגובה. תוקף אמיתי יגנוב cookies, ינתב לאתר זדוני, או יבצע פעולות בשם המשתמש.

סוגים עיקריים

1. Stored XSS — הקוד נשמר ב-DB (כמו בדוגמה) ופוגע בכל הצופים.
2. Reflected XSS — הקוד מגיע דרך פרמטר ב-URL ומשתקף בעמוד.
3. DOM-based XSS — הקוד רץ דרך מניפולציה על ה-DOM בצד הלקוח.

איך מתגוננים

• Escaping / Encoding — להציג קלט משתמש כטקסט, לא כ-HTML. רוב הפריימוורקים המודרניים (כמו React שאנחנו משתמשים בו) עושים את זה אוטומטית.
• CSP (Content-Security-Policy) — כותרת שמגבילה איזה קוד מותר להריץ. (הוספנו אחת לאתר הזה!)
• אף פעם לא לסמוך על קלט משתמש — לא בתצוגה ולא בלוגיקה.