ng-bind和ng-bind-html如何阻止XSS？

Question

我一直在尝试在Angular JS上学习XSS，并发现ng-bind和ng-bind-html可以防止XSS针对已经由服务器站点中的html-encode编码的任意用户输入。这究竟是如何工作的？有没有办法通过这个以便可以执行XSS？

Answer 1

ng-bind-html使用$sce.getTrustedHtml来清理传递的HTML。