javascript - .textContent 是否完全安全？

Question

我正在执行 element.textContent = unescapedData 以将未转义的用户输入放在网站上。攻击者有什么办法可以利用它来做坏事吗？

如果它有以下 CSS 吗？

max-width: 30rem;
max-height: 3rem;
overflow: hidden;

我考虑过使用奇怪或无效的 Unicode 字符，但找不到有关如何实现此目的的任何信息。

Answer 1

相关规范似乎在 https://dom.spec.whatwg.org/#dom-node-textcontent .假设 element 是一个 Element 或 DocumentFragment，创建一个 Text 节点并将其数据设置为字符串 unescapedData。还有这个Is a DOM Text Node guaranteed to not be interpreted as HTML?似乎非常确定浏览器不会将 Text 节点呈现为文本以外的任何内容。我还没有在规范中找到它。

所以，除非浏览器有缺陷，否则答案都是“不行”和“不行”。