Как React защищает от XSS? Что если у бэкенда нет защиты?

React по умолчанию защищает от XSS (межсайтового скриптинга) благодаря тому, что при рендеринге JSX он экранирует все значения, вставляемые в DOM, кроме тех, которые явно указаны как "опасные" (например, через dangerouslySetInnerHTML). Это значит, что любые пользовательские данные, вставленные в JSX, не будут интерпретированы как HTML или скрипты, а будут отображены как текст.

Если бэкенд не защищает данные (например, не экранирует или не фильтрует вредоносный ввод), React всё равно минимизирует риск XSS на клиенте благодаря своей внутренней экранировке. Однако это не гарантирует полной безопасности, так как:

• если используется dangerouslySetInnerHTML с небезопасными данными, XSS возможен;
• уязвимости могут появиться на уровне API или других частей приложения;
• лучше всего комбинировать защиту на стороне сервера (валидация, экранирование) и на клиенте.

Итого, React снижает риск XSS, но не заменяет полноценную защиту на бэкенде.