Trusted Types
Trusted Types ist eine Browser-API, die verlangt, dass DOM-Injektionssenken (innerHTML, insertAdjacentHTML) über typisierte Sicherheitsrichtlinien erstellt werden — sie verhindert DOM-XSS an der Quelle.
Zweck
Sicherheitsrichtlinien an DOM-Injektionspunkten durchsetzen, damit XSS-Injektionen zur Entwicklungszeit statt zur Laufzeit blockiert werden; Defense in Depth für CSP.
Mechanismus
Einmal aktiviert, akzeptieren gefährliche Senken wie innerHTML nur den Typ TrustedHTML, der über vertrauenswürdige Richtlinien erstellt werden muss. Auch document.write, eval und andere brauchen Richtlinien. Richtlinienverstöße lösen Reports oder Blockaden aus.
Anwendungsfälle
- DOM-XSS-Ausrottung
- CSP-Defense in Depth
- Typsichere Injektion