Hướng dẫn dangerouslysetinnerhtml la gì - risklysetinnerhtml la gì

Bài viết này bao gồm lý do đằng sau việc sử dụng thuộc tính

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

let b = $["#product-content"].height[]; // wrong: 600, true: 6500 1 là gì?

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

Khi

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

Như tên của tài sản cho thấy, có thể rất nguy hiểm khi sử dụng vì nó làm cho mã của bạn dễ bị tấn công trong các cuộc tấn công kịch bản chéo trang [XSS]. Điều này trở thành một vấn đề đặc biệt nếu bạn đang tìm nạp dữ liệu từ nguồn của bên thứ ba hoặc nội dung kết xuất được gửi bởi người dùng.

Khi nào nên sử dụng let b = $["#product-content"].height[]; // wrong: 600, true: 6500 1

Một trường hợp sử dụng trong đó bạn cần đặt nội dung HTML của phần tử DOM là khi bạn điền vào phần tử

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

class ContentRenderer extends React.Component {
  componentDidMount[] {
      this.observer = new MutationObserver[this.handleMutation];
      this.observer.observe[this.myElement, {
        // Check config in //developer.mozilla.org/en-US/docs/Web/API/MutationObserver
        childList: true,
        attributes: true,
        characterData: true
      }];
    }
  
    componentWillUnmount[] { 
      this.observer.disconnect[];
    }
    
    handleMutation[] {
      console.log['mutation'];
    }
    
    render[] {
      return [
        
 { this.myElement = myElement; }}
        />
      ];
    }
  }

class ContentRenderer extends React.Component {
  componentDidMount[] {
      this.observer = new MutationObserver[this.handleMutation];
      this.observer.observe[this.myElement, {
        // Check config in //developer.mozilla.org/en-US/docs/Web/API/MutationObserver
        childList: true,
        attributes: true,
        characterData: true
      }];
    }
  
    componentWillUnmount[] { 
      this.observer.disconnect[];
    }
    
    handleMutation[] {
      console.log['mutation'];
    }
    
    render[] {
      return [
        
 { this.myElement = myElement; }}
        />
      ];
    }
  }

class ContentRenderer extends React.Component {
  componentDidMount[] {
      this.observer = new MutationObserver[this.handleMutation];
      this.observer.observe[this.myElement, {
        // Check config in //developer.mozilla.org/en-US/docs/Web/API/MutationObserver
        childList: true,
        attributes: true,
        characterData: true
      }];
    }
  
    componentWillUnmount[] { 
      this.observer.disconnect[];
    }
    
    handleMutation[] {
      console.log['mutation'];
    }
    
    render[] {
      return [
        
 { this.myElement = myElement; }}
        />
      ];
    }
  }

Hãy xem xét đoạn mã sau, sẽ hiển thị chuỗi mà không nhận thức được thẻ

class ContentRenderer extends React.Component {
  componentDidMount[] {
      this.observer = new MutationObserver[this.handleMutation];
      this.observer.observe[this.myElement, {
        // Check config in //developer.mozilla.org/en-US/docs/Web/API/MutationObserver
        childList: true,
        attributes: true,
        characterData: true
      }];
    }
  
    componentWillUnmount[] { 
      this.observer.disconnect[];
    }
    
    handleMutation[] {
      console.log['mutation'];
    }
    
    render[] {
      return [
        
 { this.myElement = myElement; }}
        />
      ];
    }
  }

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

Nhưng khi

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

Lưu ý rằng nó phải là một đối tượng có khóa

class ContentRenderer extends React.Component {
  componentDidMount[] {
      this.observer = new MutationObserver[this.handleMutation];
      this.observer.observe[this.myElement, {
        // Check config in //developer.mozilla.org/en-US/docs/Web/API/MutationObserver
        childList: true,
        attributes: true,
        characterData: true
      }];
    }
  
    componentWillUnmount[] { 
      this.observer.disconnect[];
    }
    
    handleMutation[] {
      console.log['mutation'];
    }
    
    render[] {
      return [
        
 { this.myElement = myElement; }}
        />
      ];
    }
  }

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

Yêu cầu vượt qua một đối tượng chỉ là một biện pháp bảo vệ khác để ngăn chặn các nhà phát triển sử dụng nó mà không cần thông qua tài liệu và nhận thức được mối nguy hiểm tiềm tàng.

Vệ sinh khi sử dụng let b = $["#product-content"].height[]; // wrong: 600, true: 6500 1

Các ví dụ trên không gây nguy hiểm khi kết xuất. Tuy nhiên, có thể có một số trường hợp phần tử HTML thực thi tập lệnh.

Hãy xem xét các ví dụ sau trong đó một sự kiện JavaScript được gắn vào phần tử HTML. Mặc dù đây là những ví dụ vô hại, nhưng chúng là bằng chứng về các khái niệm cho thấy làm thế nào một yếu tố HTML có thể được khai thác để chạy các kịch bản độc hại.

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

May mắn thay, có các công cụ vệ sinh cho HTML, phát hiện các bộ phận có khả năng độc hại trong mã HTML và sau đó xuất ra một phiên bản sạch và an toàn của nó. Chất khử trùng phổ biến nhất cho HTML là Dompurify.

Hãy để sử dụng bản demo trực tuyến của mình để vệ sinh các mã HTML đã đề cập ở trên và xem cách nó phát hiện và lọc ra các phần của mã có khả năng nguy hiểm khi được thực thi.

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

Nó thực hành tốt để sử dụng chất khử trùng ngay cả khi chúng ta tin tưởng vào nguồn dữ liệu. Với gói Dompurify được sử dụng, một trong những ví dụ trên sẽ như sau:

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

Hàm

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

class ContentRenderer extends React.Component {
  componentDidMount[] {
      this.observer = new MutationObserver[this.handleMutation];
      this.observer.observe[this.myElement, {
        // Check config in //developer.mozilla.org/en-US/docs/Web/API/MutationObserver
        childList: true,
        attributes: true,
        characterData: true
      }];
    }
  
    componentWillUnmount[] { 
      this.observer.disconnect[];
    }
    
    handleMutation[] {
      console.log['mutation'];
    }
    
    render[] {
      return [
        
 { this.myElement = myElement; }}
        />
      ];
    }
  }

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

Đúng như dự đoán, khi chúng ta di chuột qua văn bản in đậm, không có chức năng cảnh báo được thực thi.

Lưu ý rằng vì Dompurify cần một cây DOM và môi trường nút không có, bạn phải sử dụng gói

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

Nếu bạn thích tùy chọn đầu tiên, bạn có thể tham khảo đoạn trích sau từ tài liệu của

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

Sự kết luận

Tóm lại,

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

let b = $["#product-content"].height[]; // wrong: 600, true: 6500

Khả năng hiển thị đầy đủ vào các ứng dụng phản ứng sản xuất

Gỡ lỗi các ứng dụng React có thể khó khăn, đặc biệt là khi người dùng gặp phải các vấn đề khó sao chép. Nếu bạn quan tâm đến việc theo dõi và theo dõi trạng thái Redux, tự động xuất hiện các lỗi JavaScript và theo dõi các yêu cầu mạng chậm và thời gian tải thành phần, hãy thử logrocket.

Logrocket giống như một DVR cho các ứng dụng web và di động, ghi lại mọi thứ xảy ra trên ứng dụng React của bạn. Thay vì đoán tại sao các vấn đề xảy ra, bạn có thể tổng hợp và báo cáo về trạng thái của ứng dụng của bạn khi xảy ra vấn đề. Logrocket cũng theo dõi hiệu suất của ứng dụng của bạn, báo cáo với các số liệu như tải CPU của máy khách, sử dụng bộ nhớ máy khách và hơn thế nữa.

Gói Logrocket Redux Middleware bổ sung thêm một lớp hiển thị vào các phiên người dùng của bạn. Logrocket ghi lại tất cả các hành động và nêu từ các cửa hàng Redux của bạn.

Hiện đại hóa cách bạn gỡ lỗi ứng dụng React của mình - bắt đầu giám sát miễn phí.