Tengo una API REST de primavera y un proyecto de cliente. La página HTML de proyectos del cliente utiliza las llamadas jquery ajax para obtener datos de la API REST mediante el formato json o xml. Mi pregunta es evitar los ataques XSS en una página web, ¿dónde debo realizar la codificación de los datos de entrada del usuario (es decir, los datos que no son de confianza)? Actualmente estoy codificando datos en mi Controlador REST antes de devolver la respuesta. Estoy siguiendo el artículo de la hoja de trucos de OWASP XSS Prevention. Pero como en mi caso, todo son llamadas ajax y datos que se extraen de json y se ponen en html usando jquery, no estamos seguros de dónde debería codificar el usuario los datos no confiables. ¿Es buena opción poner la codificación en el controlador REST?
Gracias de antemano.