javascript - 为什么这个 JavaScript 注入(inject)攻击不起作用？

Question

这个问题已经有答案了:

Can scripts be inserted with innerHTML? (26 个回答)

已关闭 8 年前。

我正在尝试找到正确的方法来强化我的 Javascript 抵御代码注入(inject)攻击。

因此，我创建了我认为会成功的代码注入(inject):

    document.getElementById("result").innerHTML = "hello <script> alert(0) <\/script> kuku";

评估document.getElementById("result").innerHTML在调试器中显示它确实经历了:

"hello <script> alert(0) </script> kuku"

那怎么没有警报呢？

Answer 1

设置 .innerHTML包含 <script> 的内容 block 永远不会导致嵌入的代码被评估。就是这样.innerHTML有效。