我开始学习JS/HTML/CSS。从周围观察来看,从后端返回HTML(例如Ajax响应)并直接显示它(例如将其分配给元素的innerHTML)似乎并不罕见。例如,我相信jQuery的load()方法基本上是一个快捷方式来做这个。
采用这种方法让我感到担忧,原因有几个,但我不确定是不是因为我不熟悉这些领域的方法和惯例,或者这些是合理的问题。我的担忧具体如下:
1)直接将HTML分配给元素似乎不安全。如果存在任何用户内容(甚至第三方内容)的可能性,至少是危险的。
2)直接发送表示信息(HTML)似乎可能导致最好避免的表示/模型混合。当然,在后端上可以将它们清晰地分开并仍然返回HTML,但在我看过的几个项目中,情况并非如此。
所以,我的问题是,返回HTML是否是Ajax应用程序中合法的HTTP响应形式,还是最好避免使用?
采用这种方法让我感到担忧,原因有几个,但我不确定是不是因为我不熟悉这些领域的方法和惯例,或者这些是合理的问题。我的担忧具体如下:
1)直接将HTML分配给元素似乎不安全。如果存在任何用户内容(甚至第三方内容)的可能性,至少是危险的。
2)直接发送表示信息(HTML)似乎可能导致最好避免的表示/模型混合。当然,在后端上可以将它们清晰地分开并仍然返回HTML,但在我看过的几个项目中,情况并非如此。
所以,我的问题是,返回HTML是否是Ajax应用程序中合法的HTTP响应形式,还是最好避免使用?