Tengo un JavaScript que obtiene algo de HTML de un script PHP y lo inserta en el DOM:
$.get("/includes/blocks.php",{
id:encodeURIComponent(id)
}).done(function(Data){
$('<div class="pac">'+Data.html+'</div>').appendTo('.main');
});
¿Cuál es la mejor manera de prevenir XSS si quiero insertar un código HTML de blocks.php en el DOM? Contiene una gran cantidad de elementos HTML con toneladas de atributos. No se devuelven datos controlados por el usuario, pero ¿podrían modificarse los datos devueltos de alguna manera?