# Trois types de XSS
Reflected  : le payload vient de la requête (URL, formulaire) et est renvoyé tel quel dans la réponse
Stored     : le payload est enregistré en base (commentaire, profil) et exécuté pour chaque visiteur
DOM-based  : le payload n'atteint jamais le serveur, exécuté via manipulation JS côté client uniquement

<!-- Payload de démonstration (lab autorisé) : XSS reflected via un paramètre de recherche non échappé -->
<!-- URL : https://lab.local/search?q=<script>alert(document.cookie)</script> -->
<!-- Si le serveur renvoie q tel quel dans le HTML sans échappement : -->
<p>Résultats pour : <script>alert(document.cookie)</script></p>

# VULNÉRABLE : rendu HTML sans échappement (Jinja2 avec autoescape désactivé, ou f-string brute)
from fastapi.responses import HTMLResponse

@app.get("/search")
async def search_vulnerable(q: str):
    return HTMLResponse(f"<p>Résultats pour : {q}</p>")  # q injecté tel quel dans le HTML

# CORRECT : échappement systématique côté serveur (Jinja2 autoescape=True par défaut avec FastAPI/Starlette)
from fastapi.templating import Jinja2Templates

templates = Jinja2Templates(directory="templates")  # autoescape activé par défaut sur les .html

@app.get("/search")
async def search_safe(request: Request, q: str):
    return templates.TemplateResponse("search.html", {"request": request, "query": q})
# Dans search.html : {{ query }} est automatiquement échappé (< devient &lt;, etc.)

// Côté React (frontend Next.js) : React échappe par défaut le texte inséré via JSX
function SearchResult({ query }) {
  return <p>Résultats pour : {query}</p>; // sûr, React échappe automatiquement
}

// DANGEREUX : dangerouslySetInnerHTML contourne volontairement la protection de React
function SearchResultUnsafe({ query }) {
  return <p dangerouslySetInnerHTML={{ __html: query }} />; // à éviter sauf contenu déjà assaini
}

// Si du HTML utilisateur doit vraiment être rendu (ex: éditeur riche), l'assainir avec DOMPurify
import DOMPurify from "dompurify";

function renderUserContent(rawHtml) {
  const clean = DOMPurify.sanitize(rawHtml, {
    ALLOWED_TAGS: ["b", "i", "em", "strong", "a", "p", "ul", "li"],
    ALLOWED_ATTR: ["href"],
  });
  return clean; // sûr à injecter via dangerouslySetInnerHTML après assainissement
}

# Défense en profondeur : cookie de session HttpOnly (inaccessible en JavaScript même en cas de XSS)
Set-Cookie: session=eyJhbGciOi...; HttpOnly; Secure; SameSite=Strict; Path=/

# Content-Security-Policy restreint drastiquement l'impact d'un XSS résiduel (voir leçon dédiée)
Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'

# Payloads de test classiques pour un audit XSS en lab autorisé
<script>alert(1)</script>
<img src=x onerror=alert(1)>
<svg onload=alert(1)>
"><script>alert(document.domain)</script>
javascript:alert(1)   # dans un attribut href non filtré