這是使用js剝離html標簽的安全方法嗎？

Question

我需要從字符串中刪除html標簽。 我不喜歡使用正則表達式，因為總會有人找到打破它的方法。 但是，使用dom會帶來明顯的風險。

使用createDocumentFragment怎么樣？

function striptags(content) {
  var frag = document.createDocumentFragment();
  var innerEl = document.createElement('div');
  frag.appendChild(innerEl);
  innerEl.innerHTML = content;
  return frag.firstChild.innerText;
}
striptags('<script>alert("xss attack!")</script>');

Answer 1

這是使用js剝離html標簽的安全方法嗎？

否，使用文檔片段無濟於事。 盡管innerHTML不會評估<script> ，但是您的方法仍然容易受到其他XSS做法的影響（例如striptags('<img src="" onerror="alert(\\'xss attack!\\')"></img>') ）。

---

只需使用正則表達式刪除或替換您想擺脫的東西，然后轉義其余部分（無論如何您都應該這樣做）。

function striptags(content) {
  return escapeHtml(content.replace(/<\/p>/g, "\n\n")
                           .replace(/<br[^>]*>/g, "\n")
                           .replace(/<[^>]*>/g, ""));
}