什麼是不安全的HTML？

Question

我讀到有關AngularJS $ SCE並在其文件說，$ SCE使用 -

有約束力的價值和在文檔中使其 前消毒不安全的HTML

我想知道HTML代碼片段如何損害任何Web應用程序。

任何人都可以解釋一下有關'unsafe HTML'如何工作和傷害web應用程序的幫助嗎？

Answer 1

我不知道爲什麼所有的倒票。無論如何，我知道的最大的事情是避免XSS（跨站點腳本）的最佳實踐。三個主要的規則是：

1. HTML逃跑之前插入不可信數據到HTML元素內容
2. 屬性逃生之前插入不可信數據轉換成HTML通用屬性
3. 的JavaScript逃逸插入不可信數據轉換爲JavaScript數據值之前
4. （實際上3.1）在HTML上下文HTML逃逸JSON值和讀取JSON.parse

數據

我覺得我可以單獨解釋他們，但這裏的文章詳細解釋了一切：https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet