Eu tive essa mesma pergunta quando criei duas aplicacoes usando EXPRESS, uma na arquitetura MVC e outra em REST API. Basicamente, se voce escolhe um caminho (MVC ou REST), ele te previne de CSRF, mas te deixa vulneravel a XSS, e vice-versa.
No seu caso, se voce usa arquitetura stateful
no Adonis, a biblioteca shield
. Se voce esta em uma arquitetura stateless
, sendo voce o responsavel pelo front-end tambem, para se proteger de ataques XSS, o script da aplicacao (do lado do cliente ou do servidor) deve sempre escapar (limpar por assim dizer), a entrada do usuário antes de gravá-la em HTML ou no banco de dados(por exemplo transformar <
em <
, >
em >
, e por ai vai.). Se voce usa frameworks como o Angular, ele promove este recurso de "limpar" os dados do usuario por padrao, prevenindo o ataque XSS.
Se você usa o React.js, voce nunca manipula o DOM diretamente, portanto, seu aplicativo também está protegido contra ataques XSS. o React nos impede de injetar código HTML diretamente em nossos componentes. Ele renderiza o HTML como uma string. Isso é ótimo, mas às vezes precisamos inserir código HTML em nossos componentes. Neste momento, depende da atenção, muita atenção e testes do desenvolvedor durante a codificacao para construir um código invulnerável a XSS.
Este link fala sobre como prevenir ataque XSS em ReactJS.
Agora, se o front-end nao esta na sua responsabilidade, creio que voce devera ter uma longa conversa com a equipe responsavel pelo front.
Esta materia "Your API-Centric Web App Is Probably Not Safe Against XSS and CSRF" fala sobre como se proteger de CSRF e XSS e os pos e contras de se usar Token
, Web Storage
eAuthorization Header
e Session cookie
.
Eu espero ter ajudado, pois foi o que eu descobrir pesquisando e estou muito disposto a saber mais do assunto caso alguem queira comentar minha resposta.