待验证50% 置信事实精确时间
在 React 中使用 dangerouslySetInnerHTML 会绕过自动转义机制，开发者承担全部内容净化责任，是 XSS 常见入口。
1
来源数
50%
置信度
长期有效
时效性
2026/10/13
首次发现
来源
涉及实体
相关事实
待验证XSS 防护主流方案包括输出净化（DOMPurify、sanitize-html）、沙箱隔离（iframe sandbox、Web Workers）和从源头禁用原始 HTML 内嵌70% 相似待验证允许用户提交包含 HTML 标记的富文本内容可能导致 XSS（跨站脚本攻击），恶意用户可注入 script 标签执行任意 JavaScript 代码68% 相似待验证Markdown 解析器渲染 HTML 时的主要安全威胁是跨站脚本攻击（XSS），因标准 Markdown 允许内嵌原生 HTML66% 相似待验证无JS页面天然规避了跨站脚本（XSS）攻击面，在安全敏感的内容展示场景下是有意义的架构选择65% 相似待验证在 React 中使用 DOMPurify 的典型模式是先调用 DOMPurify.sanitize(html)，再将结果传给 dangerouslySetInnerHTML。65% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1016434API
curl https://kongchang.com/api/v1/knowledge/claims/1016434MCP
get_claim(id=1016434)