Jassif Team Institution

Angular Security

Angular டெம்ப்ளேட் பைண்டிங்களைத் தூய்மைப்படுத்துவதன் மூலம் XSS-க்கு எதிராக பாதுகாக்கிறது.

பாதுகாப்பு அத்தியாவசியங்கள்

XSS பாதுகாப்பு: Angular ஸ்கிரிப்ட் ஊசி போடுவதைத் தடுக்க டெம்ப்ளேட் பைண்டிங்களைத் தூய்மைப்படுத்துகிறது.

தூய்மைப்படுத்தல்: ஆபத்தான மதிப்புகள் DOM-க்கு எழுதுவதற்கு முன் நீக்கப்படுகின்றன அல்லது மாற்றப்படுகின்றன.

பண்பு பைண்டிங்: URLs/HTML-க்கு சரம் இணைப்புகளை விட property bindings பயன்படுத்தவும்.

தவிர்க்க: DomSanitizer-ஐ audit செய்யப்பட்ட, அரிதான சந்தர்ப்பங்களில் மட்டுமே பயன்படுத்தவும்.

// Angular sanitizes [innerHTML], [href], [src]
@Component({ template: `<div [innerHTML]="html"></div>` })
class C { html = '<b>Hello</b> <script>alert(1)</script>'; }

தூய்மைப்படுத்தல் அடிப்படைகள்

// Property binding runs the sanitizer
<img [src]="photoUrl" alt="...">
<a [href]="profileUrl">Profile</a>

import { bootstrapApplication } from '@angular/platform-browser';
import { Component } from '@angular/core';

@Component({
  selector: 'app-root',
  standalone: true,
  template: `
    <h3>Sanitized HTML</h3>
    <div [innerHTML]="html"></div>
  `
})
class App {
  html = `Hello <script>alert('xss')</script>`;
}

bootstrapApplication(App);

பாதுகாப்பான DOM APIs

தூய்மைப்படுத்தி இயங்குவதை உறுதிப்படுத்த URLs மற்றும் HTML-க்கு property bindings பயன்படுத்தவும்.

DomSanitizer.bypassSecurityTrust*-ன் எந்தப் பயன்பாட்டையும் audit செய்யவும்; நோக்கம் மற்றும் காரணத்தை ஆவணப்படுத்தவும்.

சிறிய utilities-இல் encapsulated, சோதனை செய்யப்பட்ட, நிலையான உள்ளடக்க பாதைகளுக்கு மட்டுமே bypass-ஐ வரம்பிடவும்.

import { DomSanitizer } from '@angular/platform-browser';

// Use: [href]="safeUrl" with validated values
// Avoid bypass unless strictly necessary and audited:
// const safe = sanitizer.bypassSecurityTrustUrl(untrusted);

பாதுகாப்பு சிறந்த நடைமுறைகள்

பாதுகாப்பு அறிவு சரிபார்ப்பு