DOM-based XSS
XSS-variant där exploit aldrig touchar server — vulnerable JavaScript på client läser user-input (URL hash, location, localStorage) och evals/innerHTML:ar det utan sanitization.
Klassisk: document.getElementById('container').innerHTML = location.hash → URL #<img onerror=alert(1) src=x> triggar. Server-side defenses (escape on output) hjälper INTE — exploit händer client-side. Defense: undvik innerHTML, använd textContent, escape user-data innan DOM-manipulation, Trusted Types (Chrome API som tvingar safe-by-construction). React + Vue minimerar via JSX-auto-escape. Single-page-apps har högre DOM-XSS-surface eftersom hela rendering är client-side. CSP är best mitigation: 'unsafe-eval' off + nonce-baserad script-tillåtelse.