javascript - createTextNode 对 HTML 注入(inject)和 XSS 完全安全吗？

Question

我正在开发单页网络应用程序。我通过直接创建 DOM 节点来进行渲染。特别是，通过使用 document.createTextNode("user data") 创建文本节点，将所有用户提供的数据添加到页面中。

这种方法是否避免了任何可能的 HTML 注入(inject)、跨站点脚本 (XSS) 以及用户可能做的所有其他邪恶事情？

Answer 1

它创建了一个纯文本节点，所以是的，就目前而言。

虽然使用不安全的方法从输入到 createTextNode 的任何 channel 获取数据，但可能会造成 XSS 问题。

例如以下将是不安全:

document.createTextNode('<?php echo $_GET['xss']; ?>');

... 但危险来自 PHP echo，而不是 JavaScript createTextNode。