Trusted Types
Maakt het een typefout om een gewone string aan innerHTML te geven, en schaft daarmee DOM-gebaseerde XSS structureel af.
Het probleem met DOM-XSS is dat de gevaarlijke aanroepen strings accepteren en een string niets zegt over zijn herkomst. Trusted Types draait dat om: met de bescherming aan weigert de browser een gewone string te interpreteren in sinks als innerHTML, script.src of eval. Alleen speciale objecten worden geaccepteerd, en die kunnen alleen worden gemaakt door een policy die de ontwikkelaar heeft geregistreerd.
Het voordeel is dat de review eindig wordt. In plaats van elke plek op te sporen waar onbetrouwbare data een sink kan bereiken, volstaat het de policies te controleren, die weinig en centraal zijn. De bescherming wordt ingeschakeld met de CSP-directive require-trusted-types-for 'script', en er is een report-only-modus om overtredingen te vinden voordat de regel wordt afgedwongen.