什么是不安全的HTML？

Question

我读到有关AngularJS $ SCE并在其文件说，$ SCE使用 -

有约束力的价值和在文档中使其 前消毒不安全的HTML

我想知道HTML代码片段如何损害任何Web应用程序。

任何人都可以解释一下有关'unsafe HTML'如何工作和伤害web应用程序的帮助吗？

Answer 1

我不知道为什么所有的倒票。无论如何，我知道的最大的事情是避免XSS（跨站点脚本）的最佳实践。三个主要的规则是：

1. HTML逃跑之前插入不可信数据到HTML元素内容
2. 属性逃生之前插入不可信数据转换成HTML通用属性
3. 的JavaScript逃逸插入不可信数据转换为JavaScript数据值之前
4. （实际上3.1）在HTML上下文HTML逃逸JSON值和读取JSON.parse

数据

我觉得我可以单独解释他们，但这里的文章详细解释了一切：https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet