Как защитить мой API, созданный с использованием конечных точек Google Cloud?

Вот версия, которая сортирует адреса @ Проблемы с безопасностью MikeSamuel:

function strip(html)
{
   try {
       var doc = document.implementation.createDocument('http://www.w3.org/1999/xhtml', 'html', null);
       doc.documentElement.innerHTML = html;
       return doc.documentElement.textContent||doc.documentElement.innerText;
   } catch(e) {
       return "";
   }
}

Обратите внимание: она вернет пустую строку, если HTML-разметка недействительна XML (иначе, теги должны быть закрыты и атрибуты должны быть указаны). Это не идеально, но позволяет избежать проблемы с потенциальным эксплойтом безопасности.

Если вам не нужна действительная разметка XML, вы можете попробовать:

var doc = document.implementation.createHTMLDocument("");

, но это не идеальное решение ни по другим причинам.