使用innerHTML插入内容不会执行<script>标记,这是否可以保证安全?

德拉谢兰

我正在使用ajax从php获取内容以更新页面上的内容。我想知道,由于我使用javascript innerHTML插入了内容,因此有必要检查脚本标记,因为据我所知,除非您有意评估它们,否则不会运行用innerHTML添加的脚本标记。

用户名

可以使用innerHTML插入脚本吗?

这应该可以回答您的问题。如果要评估脚本标记,则必须手动执行。如果代码不只是脚本标签,那么您将不得不检查脚本标签。

如示例所示(在onload事件中的空标记中放入脚本),可以通过多种方法解决此问题,但是您必须更改从服务器检索的内容。


如果您担心客户端将插入将要执行的有害Javascript,请不要害怕!您绝对不应在客户端执行任何敏感操作。

本文收集自互联网,转载请注明来源。

如有侵权,请联系 [email protected] 删除。

编辑于
0

我来说两句

0 条评论
登录 后参与评论

相关文章

是否可以使用jQuery one()插入内容?

执行插入.innerHTML的<script>元素

是否可以在不使用JavaScript的eval的情况下多次运行插入的<script>标记?

HTML <script defer>是否可以在<script async>之前执行?

水豚:是否在<script>标记内获取内容?

是否可以使用可见性保证而不是完全锁定来以线程安全的方式访问共享状态?

Chrome扩展程序:检查是否已插入内容脚本

使用Scrapy从<script>标记中提取多行javascript内容

日志文件系统是否可以保证断电后不会损坏?

扩展注入的<script>标记执行顺序

在<script>标记之间执行的异步代码

在JavaScript中,是否可以在<script> </ script>标记中导入JS模块而不加载外部文件?

是否可以保证先执行别人之前的指令/声明?

是否可以使用JavaScript编辑<script type =“ text / template”>的内容?

是否可以在Java中使用bucket_script?

使用XPath检索<script>标记内的元素

使用Django模板标记是否可以执行Querysets?

JSF:如何在自定义facelets标记中插入内容?

在AJAX调用后执行innerHTML注入的<script>

插入之前清除LAST_INSERT_ID(),以判断返回的内容是否来自我的插入内容

使用.append()在div中插入内容

SqLite C ++,可以创建数据库,但不能在表中插入内容

Google跟踪代码管理器-标记配置-在<script>中附加<script>内容

可以使用innerHTML插入脚本吗?

可以使用锁定对象数组来保证线程对MyClassArray的安全访问吗?

如何获取指定为<script>标记的'src'的文件的内容?

是否在`std :: tuple`上使用`std :: get <I>`保证对不同的`I`值是线程安全的?

使用python的`future`模块中的`ThreadPoolExecutor`时,是否保证了数据安全?

使用 python 的“future”模块中的“ThreadPoolExecutor”时是否保证数据安全?