我们正在将Web应用程序架构转换为基于微服务的模式。我们内部进行了一场辩论,讨论是否应该在提供内容的REST API(例如JSON格式)中对内容进行编码以使其安全,还是由使用者(例如HTML或其他方式)负责编码以及显示它。这么做的目的是为了防止XSS攻击等问题。
提供方的观点是:“我们无法知道如何为每个人编码,也无法知道您将如何使用内容,因此使用方应该自行编码。”
使用方的观点是:“只有一个提供方和多个使用方,因此在提供API中进行编码比希望每个使用方都能够编码更加安全。”
在这方面是否有任何通常被接受的最佳实践以及原因?
提供方的观点是:“我们无法知道如何为每个人编码,也无法知道您将如何使用内容,因此使用方应该自行编码。”
使用方的观点是:“只有一个提供方和多个使用方,因此在提供API中进行编码比希望每个使用方都能够编码更加安全。”
在这方面是否有任何通常被接受的最佳实践以及原因?