angular - Angular：为什么这段代码不会产生警报？

Question

<h3 _ngcontent-c4="" class="project-name">"Sometest"</h3><script>alert('xss');</script><h3>test</h3>

我尝试在自己的项目中使用 XSS 漏洞。但它不知何故不会被触发。

有任何想法吗？

标签： angularxss

Answer 1

script标签从组件标记中删除。它由HTMLSanitizer. 这是作为 XSS 预防功能完成的。

默认情况下，Angular 将所有值视为不受信任。当一个值通过属性、属性、样式、类绑定或插值从模板插入到 DOM 中时，Angular 会清理和转义不受信任的值。

可以但不鼓励注入不受信任的内容

https://stackoverflow.com/a/44904601/1527544

https://netbasal.com/angular-2-security-the-domsanitizer-service-2202c83bd90