XSS (Cross-Site Scripting) Zafiyeti Nedir? Frontend Geliştiricileri İçin Güvenlik

XSS Zafiyeti Nedir?

XSS (Cross-Site Scripting), saldırganların güvenli görünen bir web sitesine kötü niyetli JavaScript kodları enjekte etmesidir. Bu kod, siteyi ziyaret eden masum kullanıcıların tarayıcısında çalışır ve kullanıcıların oturum çerezlerini (Cookies) veya hassas verilerini çalar.

XSS Türleri

• Stored (Kalıcı) XSS: Zararlı kod veritabanına kaydedilir (Örn: bir forum yorumu olarak). O sayfayı açan herkesin bilgisayarında çalışır. En tehlikelisidir.
• Reflected (Yansıyan) XSS: Zararlı kod doğrudan URL üzerinden gönderilir (Örn: ?search=<script>alert(1)</script>) ve sunucu bunu sayfaya yansıttığında çalışır.

Frontend Tarafında Nasıl Engellenir?

Modern kütüphaneler (React, Next.js, Vue) veri basarken XSS'i otomatik olarak engeller (Auto-escaping). Ancak tehlike şuralardadır:

• React'te asla dangerouslySetInnerHTML kullanmayın (kullanıyorsanız veriyi mutlaka DOMPurify gibi kütüphanelerle temizleyin).
• Kullanıcıdan alınan verileri sayfaya basmadan önce HTML Encode işleminden geçirin (Örn: < işaretini < yapın).
• CSP (Content Security Policy): Sunucu başlıklarına CSP ekleyerek, sitenizde sadece kendi domaininizden gelen JavaScript dosyalarının çalışmasına izin verin. Inline scriptleri (satır içi kodları) engelleyin.