我在代码中使用DOM解析器:
html`${this.domParser.parseFromString(this.richText, 'text/html').body.children}`
阅读文档后,我有些担心
跨站脚本攻击(XSS)
仍然可能存在,因为正如文档所述:
然而,它也指出它返回您可以使用XMLSerializer接口执行相反的操作-将DOM树转换为XML或HTML源代码。
因此,使用这种方法来保护您的网站免受根据mimeType参数返回Document或XMLDocument。
XSS
攻击是否可行?
html
是做什么的?您是否将解析文档的结果附加到主文档中?如果是这样,DOMParser 对 XSS 没有提供任何保护。 - Kaiido