javascript - 如何使用带有完整文档字符串的 iframe 标记

Question

我收到了来自服务器的混合了 js 代码和 html 代码的字符串响应。

<script> do some with js code...</script>
<div>
  <h1>Page Title</h1>
</div>

我担心xss攻击，所以尝试用iframe在屏幕上渲染代码。但是，当文件字符串放入 iframe 的 srcdoc 属性时，脚本标签不起作用。

我认为这个问题是因为 srcdoc 属性只解析 html 标签。有没有其他方法可以将字符串脚本代码与 iframe 一起使用？

标签： javascriptreactjsiframexss