manejar el usuario-sesión-cookie y el token csrf correctamente para la aplicación javascript

XSS y CSRF tienen una interacción piedra / papel / tijera. XSS es siempre dominante sobre CSRF, y casi todos los métodos en CSRF Prevention Cheat Sheet pueden ser pasado por alto con XSS. Un caso en el que XSS y CSRF no se pueden usar para desencadenar una solicitud es si la solicitud requiere la contraseña actual, un token enviado por mensaje de texto o correo electrónico al usuario u otro valor que no puede obtenerse mediante un navegador con las restricciones del SOP. El Sammy MySpace Worm es un buen ejemplo de cómo puede socavarse un token de sincronización CSRF usando un XHMLHttpRequest() .

XSS es un problema grave. Un método sólido de defensa contra XSS es definir una Política de seguridad de contenido (CSP) conjunto de reglas que evita que el HTML inyectado ejecute JavaScript. El CSP, junto con una fuerte validación de entrada, se puede usar para prevenir todo XSS dentro de una aplicación con un alto grado de certeza.