Safe DOM manipulation with the Sanitizer API | Articles | web.dev

const user_input = `<em>hello world</em><img src="" onerror=alert(0)>` $div.innerHTML = user_input If you escape HTML special characters in the input string or expand it using .textContent, alert(0) isn't executed. However, since <em> added by the user is also expanded as a string as it is, this method cannot be used in order to keep the text decoration in HTML. The best thing to do here is not es

[jay-es]

文字列による DOM 操作を安全に行えるようになる

[Shisama]

Sanitizer API、ChromeとFirefoxでフラグ付きで試せるようになっているのか。DOMPurifyだとサニタイズされた文字列が返ってくるので、innerHTML分もあわせて入力文字列は２回パースする必要があるけど、Sanitizer APIはその必要がないと

[tofu-kun]

地味に便利

[efcl]

Sanitizer APIのProposalについて。 HTML文字列をサニタイズするAPIと`Element#setHTML`での設定方法について。 DomPurifyなどとは異なりサニタイズしたHTML文字列ではなく、HTMLElementを返すAPIを持つ

[yosuke_furukawa]

おおw