什么是不安全的 HTML？

Question

我在 AngularJS 中读到有关 $sce 的内容，它在其文档中说使用了 $sce -

在绑定到值并将其呈现在文档中之前清理不安全的 HTML

我想知道 HTML 片段如何损害任何 Web 应用程序。

任何人都可以通过有关'unsafe HTML'Web 应用程序如何工作和危害的场景来解释它吗？

Answer 1

我不知道为什么所有的反对票。无论如何，我知道的最重要的事情是避免 XSS（跨站点脚本）的最佳实践。三个主要规则是：

1. 将不受信任的数据插入 HTML 元素内容之前进行 HTML 转义
2. 将不受信任的数据插入 HTML 公共属性之前的属性转义
3. 将不受信任的数据插入 JavaScript 数据值之前的 JavaScript 转义
4. （实际上是 3.1）HTML 在 HTML 上下文中转义 JSON 值并使用 JSON.parse 读取数据

我觉得我可以单独解释它们，但这里有一篇文章详细解释了所有内容：https://www.owasp.org/index.php/XSS_ (Cross_Site_Scripting)_Prevention_Cheat_Sheet