angular - 我不明白 SafeUrl/SafeStyle 背后的概念

Question

前段时间我意识到我不能简单地将字符串传递给 <img ...> 的 href 参数。标记或背景样式。只有SafeUrl和 SafeStyle实例被接受。坦率地说，我不明白整个概念，因为我可以使用一个简单的调用来清理任何图像 URL 或样式。如果我可以创建一个安全的管道来将安全的图像 href 从可靠的后端 API 编码到 View 层，这可能是合理的。缓冲区@angular/platform-browser无法将 API 注入(inject)服务，因此我应该清理控件中的 URL，因为我缺少任何可以帮助我区分源可靠性的上下文。也许我遗漏了什么？

Answer 1

清理意味着您明确告诉 Angular 认为内容是安全的。它只不过是 Angular 的一个标记，你负责并且 Angular 不需要检查内容是否存在潜在的不安全内容。只“清理”您知道内容来源且不包含有害内容的内容。

这也是为什么您需要使用属性绑定(bind)符号 [innerHTML]="sanitizedConent 来绑定(bind)它，因为使用 innerHTML="{{sanitizedContent}}" sanitizedContent 被字符串化(toString 被调用)并且标记在这个过程中丢失。