innerHTML 的漏洞与安防

innerHTML的漏洞

早期的前端开发人员在写代码时通常会用到 element.innerHTML() 方法，实际上这个方法是存在很大漏洞的,来看下面一个例子：

var element = document.getElementById("root");
element.innerHTML = '';

看到这里似乎完成了一个简单的 XSS 攻击。执行一下，发现什么都没有发生 。事实上，内建的安全机制已经将传入的 DOM 进行了解析并执行。这里我查阅了一下文档，里面有这样一段话：

HTML 5 中指定不执行由 innerHTML 插入的