如何在 html 中禁用内联 javascript？

Question

我将用户输入的 html 放入 iframe 中。 目的是抑制 html 中的所有内联 javascript。 曾想过使用 Regexp 删除所有脚本，但它只捕获了<script> ... </script> ，但没有捕获<txt onload='..javascript...

这是正则表达式： /<\\s*script[^>]*>[^<]*<\\s*\\/\\s*script\\s*>/gi

如何阻止输入的 html 中的所有 js？

Answer 1

只需在 iframe 标记中设置sandbox=""并且不允许脚本执行。

要弄清楚，您可以在此演示https://www.w3schools.com/tags/tryit.asp?filename=tryhtml_iframe 中添加sandbox属性，然后运行它并打开您的控制台。

Chrome 显示此消息：

阻止了 '' 中的脚本执行，因为文档的框架已被沙盒化并且未设置 'allow-scripts' 权限。