JavaScript：使html文本为纯文本

Question

我有一个js-function，它将字符串作为参数并将其显示在div元素中。这样的字符串可能包含html标签。

如何强制JS将div-elements中的内部文本显示为带有html-tags的html-text。此外，什么是过滤特定标签的适当方法，即应用某些标签进行样式设计，只打印其他标签。

Answer 1

您只需使用&替换<和>（以及可选String#replace，如果您愿意，但您不必）使用各自的实体（例如spec，MDC）。

Answer 2

  

而且，还有什么是过滤特定标签的适当方法，即应用某些标签进行样式设计并打印其他标签。

直接将用户插入的HTML代码置于XSS 危险。您应该使用一些工具来清理HTML代码（例如，在StackOverflow上，您可以使用一些HTML标记）。

正如在this question发布的那样，您可以使用此客户端清洁剂：http://code.google.com/p/google-caja/source/browse/trunk/src/com/google/caja/plugin/html-sanitizer.js 另一方面，您可能需要在服务器端执行此操作，这取决于您的环境（ASP.NET？PHP？）。