setHTML(), Trusted Types и Sanitizer API. Олли Уильямс объясняет, как новый метод setHTML() и API Sanitizer защищают от XSS, безопасно вставляя HTML в DOM. Вместе с Trusted Types они дают современный и настраиваемый способ контроля разрешённых элементов и атрибутов, постепенно заменяя библиотеки вроде DOMPurify. Поддерживаются в Firefox Nightly и Chrome Canary. #security #html

https://olliewilliams.xyz/blog/sanitizer/

HTML Sanitizer API. Ахмад Альфи рассказывает о новом браузерном API для защиты от XSS без DOMPurify. Безопасные методы setHTML и parseHTML всегда удаляют опасное содержимое, а setHTMLUnsafe и parseHTMLUnsafe уважают ваши настройки. Списки разрешённых и запрещённых элементов и атрибутов дают гибкий контроль. Подходит для комментариев, WYSIWYG-редакторов и предпросмотра Markdown, но серверная санитизация по-прежнему обязательна. #security #html

https://alfy.blog/2026/05/07/html-sanitizer-api.html

Безопасный способ выпустить npm-пакет в 2026 году. Андрей Ситник разбирает, как атаки на цепочку поставок идут полуавтоматически и компрометируют сотни пакетов в день и предлагает строить защиту как повышение стоимости атаки. Быстрые меры, большинство из которых внедряются за день: доверенная и поэтапная публикация в npm, обязательная 2FA, создание тегов только админами, экшены CI по SHA и трёхдневная выдержка обновлений. #npm #security

https://evilmartians.com/chronicles/the-secure-way-to-release-an-npm-package

Безопасный рендеринг комментариев в Markdown: setHTML(), DOMPurify и Trusted Types. Агустин Барриентос показывает, как marked.js сохраняет сырой HTML в комментариях и почему фраза «мы санитизируем» мало что значит, когда настройки библиотек по умолчанию так различаются. Он описывает один явный список разрешённого в формате SanitizerConfig, применяет его через setHTML(), а где его нет — через DOMPurify, а Trusted Types не даёт обойти защиту через innerHTML. #security #html

https://agustinbarrientos.com/writing/senior-eye/rendering-markdown-comments-safely/