angularjs - ng-bind-html 防止在内容中执行脚本

Question

我面临的问题是我从具有 HTML 内容的服务器获取数据

<p> hello <a class='mention'data-id='1'>Amerr</a></p>

由于ng-bind-html Santaize它将删除所有潜在威胁以及data-id='1'等属性。我的指令需要它。所以我用

1. $compile让我的指令作用于锚标签。
2. $sce.trustAsHtml 返回编译后的代码。

所以如果有任何文字

"<p> {{axy}} /p>\n"

$compile(html_code)($scope)

这将执行代码并导致角度执行表达式导致问题。帮助我如何解决这个问题。

var controller= app.controller('Homecontrol', function($scope) {

  $scope.body = socket.emit('hello');
  $scope.to_trusted = function(html_code) {
    if (/<[a-z][\s\S]*>/i.test(html_code)) {
      var a = $compile(html_code)($scope);
      return $sce.trustAsHtml(a[0].innerHTML);
    } else {
      return html_code;
    }
  }

});

app.directive('mention', function (){
  return {
    restrict: 'AEC',
    transclude: true,
    template: '<a ng-transclude ></a>',
    replace: true,
   }
});

<script src="https://ajax.googleapis.com/ajax/libs/angularjs/1.2.22/angular.min.js"></script>
<p ng-bind-html=toTrust(body) ></p>

Answer 1

我终于通过解析字符串来做到了。Jquery.parseHTML 并编译了所需的 DOM，需要使用 $compile for 指令对其进行操作。并被 DOM 取代。