javascript - HTML 中 Angular ng- 属性的安全问题及缓解措施

Question

我不确定以纯文本形式查看这些指令是否会对我们的应用程序黑客攻击造成任何特殊威胁。但如果不出意外的话，人们可以清楚地看到我们的模型结构和功能。如果 Angular 在 Bootstrap 后删除这些内容，至少会让访问变得更困难......

两个问题

1. 在 Angular 应用启动后，是否可以从标记中删除所有自定义 ng- 属性？该应用程序仍能按预期运行吗？

2. 是否可以使用 jQuery 在 DOM Ready 上动态添加 ng- 属性，然后按照 #1 删除它们？如果这需要手动应用程序 Bootstrap ，那就这样吧？

通过以某种方式实现#2 的可能性，我们可以外部化应用程序配置，并且 HTML 标记永远不会显示任何声明性指令(仅在配置- Bootstrap -删除之间的时间内)。但如果用户禁用 Javascript，至少不会有任何问题。

Answer 1

如果客户端应该显示一些数据，那么您通过 Angular 公开的任何内容都必须以某种方式公开给客户端。如果您想要一个交互式客户端应用程序，那么它需要某种形式的客户端模型和数据结构以及处理这些事情的代码。无论您纯粹用 .js 文件中的过程代码表达它们，还是将部分结构嵌入到 HTML 标记中，几乎没有任何区别。它不会使任何本来就无法破解的东西变得更容易破解。