Estaba leyendo este artículo en los documentos de microsoft https://docs.microsoft.com/en-us/aspnet/core/blazor/security/server/threat-mitigation?view=aspnetcore-6.0 y me preguntaba si un usuario malintencionado podría simplemente cambiar, por ejemplo, un objeto que paso de javascript a Blazor donde lo deserializo, pero en su lugar hago que ejecute un comando muy malo como formatear la máquina o llamar a funciones .Net en servicios singleton que se inyectan en el componente Blazor. Necesito llamar a js y .net de un lado a otro porque estoy usando una biblioteca js para mostrar gráficos y otras cosas que son interactivas e intercambian objetos. Solo soy un junior, así que no sé si molestaría a mis superiores mostrándoles estas preocupaciones ya que no estamos trabajando para un gran público. No tomo cadenas de js que luego paso a la base de datos para consulta, absolutamente no. Pero no sé cuánto puede hacer que un objeto malicioso inyectado llame al código C# una vez deserializado en el componente Blazor, además de causar una excepción en su propio navegador.