Use os exemplos como laboratório: leia o código, preveja o resultado e teste no ambiente de prática. Para guardar uma ideia, selecione qualquer trecho.
CAPÍTULO 46 DE 48
Segurança no markup e limites do CSS
Neste capítulo, você transforma conteúdo não confiável em uma decisão de implementação que pode ser observada e revisada. Você sairá com uma implementação pequena, evidências de teste e critérios que poderão ser reutilizados nos projetos seguintes.
Escrita, marcações e comentários ficam só neste navegador, separados por capítulo e sem sincronização com a conta. Evite informações sensíveis; limpar os dados do navegador pode remover seus registros.
As seis questões têm correção comentada. Laboratório e projeto são práticas livres, sem execução automática de código.
Prepare-se — O que você vai construir
- Explicar conteúdo não confiável sem depender de uma receita decorada.
- Relacionar política de recursos com a estrutura e o comportamento esperado.
- Aplicar limite de responsabilidade em um caso real e em um caso extremo.
Se precisar de apoio, consulte a capítulo anterior e volte a estas tarefas. Não há obrigação de seguir um prazo.
Entenda — Modelo mental e estrutura
1. Construa o modelo mental antes da regra
HTML pode carregar scripts, iframes e URLs; conteúdo vindo de pessoas ou APIs não deve ser interpolado como markup sem política e sanitização adequadas. CSS não valida autorização nem protege segredos, e ocultar algo visualmente não o torna privado. O navegador não recebe uma imagem pronta: ele interpreta o documento, cria estruturas internas e combina regras para chegar ao resultado. Neste capítulo, use conteúdo não confiável como ponto de partida. Relacione essa ideia com política de recursos e limite de responsabilidade; as três decisões precisam colaborar. Uma declaração isolada pode parecer correta e ainda produzir uma experiência frágil quando o conteúdo muda, o texto aumenta ou outra pessoa navega por teclado.
Descreva primeiro o propósito de conteúdo não confiável e a relação que ele mantém com política de recursos. Pergunte primeiro qual informação ou relação precisa existir e só então escolha o elemento, seletor ou propriedade. Esse encadeamento evita decorar receitas sem compreender as consequências. Nomeie o comportamento esperado em uma frase curta, implemente a menor versão capaz de demonstrá-lo e mantenha o código-fonte legível. Se uma solução depende de números mágicos ou de uma ordem acidental, registre a dependência e procure uma alternativa guiada pelo conteúdo.
2. Leia o exemplo em camadas
<p class="comment">Texto inserido como conteúdo, não como HTML executável.</p>
<a href="https://exemplo.test/guia" rel="noopener">Abrir referência</a>
Leia o exemplo de fora para dentro. Identifique a estrutura, depois a regra que controla apresentação e, por fim, o estado que precisa continuar utilizável. O trecho torna conteúdo não confiável explícito e deixa limite de responsabilidade disponível para evolução sem desmontar a estrutura. Digite o trecho em vez de apenas copiá-lo. Em seguida, troque nomes, quantidade de conteúdo e largura disponível. O objetivo não é preservar a captura de tela do exemplo, mas descobrir quais escolhas continuam corretas quando o cenário deixa de ser ideal.
Observe também o que o código não faz. HTML descreve significado e relações; CSS participa da apresentação e do layout. Quando uma responsabilidade é colocada na camada errada, manutenção e acessibilidade se tornam mais difíceis. Use comentários apenas para explicar uma decisão que o próprio código não consegue tornar óbvia. Comentários que repetem a propriedade ou o nome do elemento acrescentam ruído.
3. Transforme observação em critério
Uma solução forte torna conteúdo não confiável reconhecível no código e verifica política de recursos com conteúdo real. Um critério verificável descreve entrada, ação e resultado. Em vez de “ficou bonito”, prefira algo como “o título mantém hierarquia quando o texto dobra” ou “o controle continua visível e operável com Tab”. Verifique o DOM, os estilos calculados e o tamanho real da área disponível. Redimensionar a janela é útil, mas não substitui zoom, teclado, leitor de tela, validação de markup e teste com conteúdo extremo.
A armadilha principal desta etapa é: Confiar em display none para sigilo ou inserir conteúdo não confiável diretamente como HTML.. Corrija a causa antes de empilhar exceções. Desative temporariamente regras, confira qual declaração venceu e reduza o caso até entender o mecanismo. Ao terminar, você deve conseguir explicar por que a solução funciona, quais limites assumiu e como o componente se comporta quando um recurso mais novo não está disponível.
Analise — Código em contexto
Uma revisão de código começa pela intenção. Para “Segurança no markup e limites do CSS”, o requisito é: a solução deve comunicar conteúdo não confiável, preservar política de recursos e continuar estável quando houver limite de responsabilidade. Analise a pequena variação abaixo e preveja seu resultado antes de abrir o navegador.
<div hidden>token-secreto-nao-deve-estar-no-documento</div>
A variação isola política de recursos. Observe o que muda visualmente e o que permanece na estrutura acessível. Faça a leitura em quatro passagens. Na primeira, localize elementos e seletores. Na segunda, acompanhe de onde cada valor vem. Na terceira, imagine conteúdo curto, longo e ausente. Na quarta, percorra o resultado sem mouse. Se a ordem visual divergir da ordem do documento, se um estado existir apenas por cor ou se um campo perder seu rótulo, trate isso como um problema de implementação, não como acabamento opcional.
Compare a variação com o exemplo principal. Escolha uma única mudança e formule uma hipótese: “se eu alterar isto, espero aquilo, porque…”. Execute, observe e registre. Esse ciclo curto ensina mais do que mudar várias propriedades ao mesmo tempo. A resposta importante não é apenas qual trecho funciona, mas qual representa melhor o conteúdo, reduz acoplamento e permanece compreensível para a próxima pessoa que mantiver a página.
Construa — Teste cada decisão no ambiente
Crie uma pasta para o capítulo e preserve uma versão mínima que possa ser aberta diretamente no navegador. Reproduza o exemplo e crie uma segunda versão que aplique limite de responsabilidade sem perder conteúdo não confiável. Primeiro implemente sem refinamentos visuais. Depois use as ferramentas de desenvolvimento para confirmar estrutura, regras aplicadas e dimensões. Por último, force pelo menos três situações adversas: texto duas vezes maior, largura de 320 CSS pixels e navegação completa por teclado.
Não corrija todos os sintomas de uma vez. Para cada falha, anote a hipótese, a evidência observada e a menor mudança feita. Valide novamente após a correção. Quando houver mais de uma solução possível, escolha pela clareza do contrato, pela adaptação ao conteúdo e pela experiência de quem usa teclado, zoom ou tecnologia assistiva. Guarde uma captura apenas como evidência complementar; o código e os critérios de aceite são a fonte principal da entrega.
Pratique — Seis decisões de implementação
Resolva primeiro pelo raciocínio. Consultar o capítulo e testar hipóteses no navegador faz parte do processo; depois, releia as justificativas.
Confira — Gabarito comentado
Abrir gabarito e explicações completas
E1 — C. A implementação começa pelo contrato do conteúdo. Descreva primeiro o propósito de conteúdo não confiável e a relação que ele mantém com política de recursos. Isso permite avaliar o resultado por comportamento, não só por aparência.
E2 — B. A evidência precisa exercitar o mecanismo estudado. Inspecionar conteúdo não confiável, variar política de recursos e confirmar o comportamento com limite de responsabilidade. Uma única captura em condição ideal não demonstra robustez.
E3 — A. A armadilha é Confiar em display none para sigilo ou inserir conteúdo não confiável diretamente como HTML. Ela mascara o modelo mental e costuma criar regressões quando conteúdo ou viewport mudam.
E4 — C. A alternativa correta integra acessibilidade ao contrato do componente: Preservar ordem, nome acessível e foco visível enquanto conteúdo não confiável é apresentado. Aparência não pode apagar informação nem operação.
E5 — B. A sequência baseada em evidência reduz o caso e relaciona causa e efeito. Alterações amplas escondem o mecanismo que realmente falhou.
E6 — A. Pronto para revisão significa atender critérios observáveis. A estrutura comunica conteúdo não confiável, o teste de política de recursos foi registrado e limite de responsabilidade não impede a tarefa principal. Isso ainda permite que outra pessoa encontre melhorias.
Projete — Implemente, compare e refine
Entrega incremental: um inventário de conteúdo externo, recursos carregados, destinos de formulário e dados que jamais devem chegar ao documento. Comece descrevendo, em até cinco linhas, quem usará a interface e qual tarefa precisa concluir. Implemente a estrutura e a apresentação em arquivos separados, mantendo nomes coerentes com a função do componente. Inclua um caso de conteúdo real, um caso extremo e o estado de foco. Ao final, escreva uma nota técnica explicando onde aplicou conteúdo não confiável, como conferiu política de recursos e qual limite encontrou em limite de responsabilidade.
Consultar um modelo possível
<p class="comment">Texto inserido como conteúdo, não como HTML executável.</p>
<a href="https://exemplo.test/guia" rel="noopener">Abrir referência</a>
O modelo ilustra uma possibilidade. Use os critérios para revisar suas próprias ideias, não para copiar as mesmas frases.
Critérios para revisar
- A estrutura comunica conteúdo não confiável, o teste de política de recursos foi registrado e limite de responsabilidade não impede a tarefa principal.
- Preservar ordem, nome acessível e foco visível enquanto conteúdo não confiável é apresentado.
- O código evidencia conteúdo não confiável e política de recursos sem depender de números acidentais.
- A nota técnica registra o teste de texto duas vezes maior, largura de 320 CSS pixels e navegação completa por teclado.
Até 12.000 caracteres em cada versão. Produção livre, sem correção automática.
Retome — Organize sua revisão
- Explique com suas palavras a relação entre conteúdo não confiável e política de recursos.
- Reabra o laboratório sem consultar o texto e reconstrua a decisão ligada a limite de responsabilidade.
- Aplique o teste “Inspecionar conteúdo não confiável, variar política de recursos e confirmar o comportamento com limite de responsabilidade.” ao projeto acumulado e registre uma melhoria.
Feche a explicação, tente lembrar um exemplo e depois confira. Retome uma dificuldade no próximo encontro e alguns dias depois; ajuste o intervalo ao que ainda precisa praticar.
Use exemplos concretos na autoavaliação: “consigo explicar com consulta” ou “quero praticar novamente”. Marcar como lida não representa uma certificação.
SEU PROGRESSO NO CAPÍTULO 46
Um capítulo, no seu ritmo.
— exercícios respondidos
Carregando progresso…Você decide quando marcar este capítulo como lido. Isso não altera seus exercícios nem suas marcações.
Progresso salvo só neste navegador, sem sincronização com sua conta.