Angular：为什么此代码不会导致警报？

Question

<h3 _ngcontent-c4="" class="project-name">"Sometest"</h3><script>alert('xss');</script><h3>test</h3>

我尝试在自己的项目中使用XSS漏洞。但是它不会以某种方式被触发。

有什么想法吗？

Answer 1

从组件标记中删除了

script标签。由HTMLSanitizer完成。这是XSS防护功能。

  

Angular默认将所有值视为不可信。当一个值是   通过属性，属性，样式从模板插入DOM，   类绑定或插值，Angular清除并转义   不可信的价值观。

可能但不鼓励注入不受信任的内容

https://stackoverflow.com/a/44904601/1527544

https://netbasal.com/angular-2-security-the-domsanitizer-service-2202c83bd90