Trusted Types
Rende un errore di tipo il passaggio di una semplice stringa a innerHTML — eliminando così in modo strutturale l'XSS basato su DOM.
Il problema dell'XSS nel DOM è che le chiamate pericolose accettano stringhe, e una stringa non porta con sé alcuna informazione sulla propria origine. Trusted Types ribalta la situazione: con la protezione attiva, il browser si rifiuta di interpretare una stringa semplice in sink come innerHTML, script.src o eval. Sono accettati solo oggetti speciali, e questi possono essere prodotti soltanto da una policy registrata dallo sviluppatore.
Il vantaggio è che la revisione diventa finita. Invece di cercare ogni punto in cui dati non attendibili possono raggiungere un sink, basta verificare le policy, poche e centralizzate. La protezione si attiva con la direttiva CSP require-trusted-types-for 'script', ed esiste una modalità report-only per individuare le violazioni prima di imporle.