Was ist Cross-Site-Scripting (XSS)?

Antwort: A. Daten in localStorage werden nicht automatisch an Anfragen angehängt; das JavaScript von Seiten desselben Ursprungs liest und schreibt sie

localStorage ist ein Speicherbereich im Browser, der je Ursprung Schlüssel und Werte als Zeichenketten speichert; eine Ablaufzeit lässt sich nicht festlegen, und die Daten bleiben im Allgemeinen erhalten, bis sie gelöscht werden. Sie werden nicht automatisch an den Server gesendet; soll das geschehen, setzt JavaScript sie in eine Anfrage. Cookies sind mit im Allgemeinen höchstens etwa 4 KB pro Cookie klein und werden bei jeder Anfrage automatisch gesendet, während localStorage größere Datenmengen aufnehmen kann. Allerdings kann das JavaScript der Seite es jederzeit lesen, sodass bei einer XSS-Lücke sein Inhalt gestohlen werden kann. Wer dort Werte für die Authentifizierung ablegt, muss dieses Risiko bedenken.

Antwort: B. Cross-Site-Scripting (XSS). Bei der Ausgabe geposteter Texte als HTML Zeichen mit besonderer Bedeutung wie < und > maskieren

Cross-Site-Scripting (XSS) ist eine Schwachstelle, bei der eine Webanwendung Nutzereingaben unverändert in HTML ausgibt, sodass ein in der Eingabe enthaltenes Skript als Teil der Seite im Browser der Besucher läuft. Da das Skript als Seite dieser Website läuft, kann es die Sitzungsinformationen der Besucher (Cookies) stehlen oder gefälschte Eingabefelder anzeigen. Die grundlegende Gegenmaßnahme ist, Zeichen mit besonderer Bedeutung wie <, >, & und Anführungszeichen je nach Ausgabekontext zu maskieren (etwa < in &lt; umzuwandeln), damit sie als gewöhnliche Zeichen angezeigt werden. Ergänzend kann man Cookies mit dem Attribut HttpOnly versehen, damit Skripte sie nicht lesen können, und mit einer Content Security Policy einschränken, welche Skripte ausgeführt werden dürfen. HTTPS schützt den Übertragungsweg und kann nicht verhindern, dass ein in eine legitime Seite eingebettetes Skript ausgeführt wird.