reactjs - angerlySetInnerHTML 的安全替代方案

Question

我想在我的网站上有一个动态博客(使用 React)。最初，我打算将帖子以原始 HTML 形式存储在数据库中，并使用angerouslySetInnerHTML 生成内容。然而，我担心安全隐患。虽然我的应用程序没有任何敏感数据，但我不太熟悉 XSS，无法了解打开我的应用程序可能面临的所有危险。

我很好奇是否有一种高性能、安全的方法可以在我的应用程序中动态加载博客页面。会使用https://github.com/odysseyscience/react-router-proxy-loader在这种情况下有用吗？将博客文章 JSX 的文件夹与我的应用程序的其余部分分开，并使用它加载它(诚然，我不确定 React-router-proxy-loader 是如何工作的)。

我愿意接受建议。

Answer 1

如果 XSS 是您最关心的问题，您可以使用 DOMPurify在通过 dangerouslySetInnerHTML 将 HTML 插入 DOM 之前对其进行清理。缩小后只有 10K。 And it works in Node too.