XSS - 通过在 DOM 元素上设置 innerHTML 来加载外部 HTML 是否可以防止攻击？

Question

如果我需要加载一些不受信任的外部 HTML 内容并将其呈现在 DOM 上，使用 innerHTML 属性是否足以防范恶意脚本？

通过我自己的测试和这个 article、

对于附加措施，它还可以帮助查找所有

Answer 1

不，这还不够好。内联处理程序仍然可以执行 - 最值得注意的是，那些将立即执行的处理程序。例如：

const untrustworthyContent = `
<div>
  <img src onerror="alert('evil');">
</div>
`;
document.querySelector('div').innerHTML = untrustworthyContent;

<div></div>

任何东西都可以放入这样的内联处理程序属性中，包括加载其他恶意脚本。

对于附加措施，它还可以帮助查找所有标签并在 DOM 中删除它们。这还有必要吗？

最好彻底地做。在考虑渲染之前删除所有