$ sanitizeの実装をDOMPurifyに置き換えますか？

angularjs（バージョン1.5.x）の$ sanitize関数のネイティブ実装を、DOMPurifyを使用するカスタム実装に置き換えることはできますか？

私の目標は、ng-bind-html=valueと書くことができ、HTMLをサニタイズするときにDOMPurifyを使用できるようにすることです。

2017-04-27 oldbam

は、コア[ngのバインド - HTMLディレクティブ]（HTTPSを交換するために、[デコレータ]（https://docs.angularjs.org/guide/decorators）を使用しますdocs.angularjs.org/api/ng/directive/ngBindHtml）にDomPurifyを使用するものを追加しました。詳細については、[AngularJS開発者ガイド - デコレータの使い方]を参照してください（https://docs.angularjs.org/guide/decorators#how-to-use-decorators） – georgeawg

データをレンダリングする前に、DOMPurityを使用してそのデータをサニタイズすることができます。その場合は、$sanitizeを注射しないでください。

DOMPurifyが持っている例AngularJS用として狂気ライブラリによって機能を引き起こしたXSSからあなたを防ぐことはできません：XSSセキュリティの面では

は（あなたがそれをタグとして）、DOMPurify is not made to work with AngularJSがあることに注意してください。 jQuery-XSSを保護するための防護服を実装しましたが、他のすべてのライブラリをカバーすることはできません。あなたが狂ったXSS の脆弱性を持つライブラリを使用している場合、またはそうであるかどうかわからない場合は、にお問い合わせください。参照：//：JSMVCOMFG、mustache-security、jPurify

出典

2017-04-27 09:22:06 Mistalis

DOMPurifyは、 ng-bind-html命令が使用されており、開発者はデータをレンダリングする前にDOMPurifyを呼び出すのを忘れていました – oldbam

$ sanitizeの実装をDOMPurifyに置き換えますか？

答えて

関連する問題