angularjs - 哪个表达式不会通过 $sce.trustAsHtml 清理？

Question

假设我有 -

$scope.trustAsHtml = $sce.trustAsHtml; 

<p ng-bind-html="trustAsHtml(expression)"></p>

可以检查什么trustAsHtml以使其expression不会显示为信任 HTML ？

请给我一些例子。

Answer 1

严格上下文转义 (SCE)是一种模式，其中 AngularJS 需要在某些上下文中进行绑定以产生一个标记为可安全用于该上下文的值。这种上下文的一个示例是绑定由用户通过 ng-bind-html 控制的任意 html。我们将这些上下文称为特权或 SCE 上下文。

注意：如果您使用普通 html，则使用 ng-bind-html 直接在 html 中绑定。如果您在 html 中找到一些特殊字符，则建议我使用 $sce.trustAsHtml() 并绑定它

例如

那应该是：

<div ng-bind-html="trustedHtml"></div>

加上你的控制器：

$scope.html = '<span onmouseover="this.textContent=&quot;Explicitly trusted HTML bypasses sanitization.&quot;">Hover over this text.</span>';
$scope.trustedHtml = $sce.trustAsHtml($scope.html);