Как тестировать input sanitization?

Input sanitization — очистка входных данных от опасных символов/конструкций. Тестируем: HTML спецсимволы в полях (<>&"') → экранируются при отображении. JavaScript в полях → не выполняется. SQL спецсимволы → параметризованные запросы. Null bytes (URL encoded: %00). Unicode нормализация — разные представления одного символа. Script tags в JSON полях. Тестируем КАЖДОЕ поле ввода без исключений. DevTools → Elements: проверяем как данные вставлены в DOM — entity encoding или raw? Raw = уязвимость.