如何防止XSS攻击角应用

Question

我的响应中有这个脚本＆lt; img src = x onerror =“ alert（'taction'）” ，在我执行此操作的.ts文件中 document.getElementById（“ help”）。innerhtml = this.help; 它正在前端执行并发出警报。建议如何停止此操作 使用内容安全性用作 但是没有用..有什么建议吗？请帮忙

Answer 1

使用这样的消毒剂

constructor(private sanitizer: DomSanitizer) {
}    

public sanitize(value: string) {
    return this.sanitizer.bypassSecurityTrustHtml(value);
}

Answer 2

对于OnError事件属性，您需要使用事件侦听器重写，最好是在单独的JS文件中而不是内联。

如果它是未格式化的文本，则您的目标是使用InnerHTML插入，您应该使用TextContent方法，因为它是XSS安全的。另一个选择也是使用dompurify使其安全。