{#html} 中的 XSS 防护
了解 {@html} 的风险，以及如何清理不受信任的 HTML
{#html} 中的 XSS 防护 是 CoddyKit 上的免费 Sveltejs Academy 课时。 这是第 2 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Sveltejs Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Sveltejs Academy 课程共包含 4 节课。
XSS 是什么
跨站脚本攻击会将恶意脚本注入页面，通常是通过不受信任的用户输入实现的。
默认安全机制
Svelte 默认会转义插值文本。{user.name} 是安全的。
{@html} 的风险
{@html ...} 标签会注入原始 HTML。请永远不要通过它传入不受信任的数据。
先进行清理
使用 DOMPurify 等库，在注入 HTML 前先对其进行清理。
import DOMPurify from "isomorphic-dompurify";
const safe = DOMPurify.sanitize(userMarkdown);
<div>{@html safe}</div>服务器端清理
存储数据时就在服务器端进行清理，而不只是渲染时清理，这样可以防范未来出现的错误。
允许列表
配置 DOMPurify，只允许特定的标签和属性（例如不允许 <script>）。
Markdown 处理流程
对于用户提交的 Markdown，先将其渲染为 HTML，再在输出前进行清理。
可信来源
来自您的 CMS 或静态内容中的 HTML 通常是安全的；用户提交的内容则不安全。
CSP 标头
设置内容安全策略，以便在 XSS 漏过防护时限制其造成的损害。
内联脚本
在 CSP 中禁止内联脚本，防止注入的脚本运行。
经常审计
检查每一处 {@html} 的使用，并将其视为安全关键操作。
快速检查
{@html} 的主要风险是什么？
回顾
避免将 {@html} 与不受信任的数据一起使用。使用 DOMPurify 进行清理，并实施严格的 CSP，以构建纵深防御。
用 AI 导师学习 HTML — 免费
在浏览器中编写并运行真实代码，获得全天候 AI 导师的即时帮助，并在网页或应用中继续学习。
- 课程
- 41
- 课程
- 163
常见问题解答
「{#html} 中的 XSS 防护」课时是免费的吗？
是的 — 「{#html} 中的 XSS 防护」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Sveltejs Academy 课程的其余内容，请升级到 CoddyKit PRO。 Sveltejs Academy 课程共包含 4 节课。
「{#html} 中的 XSS 防护」这节课中我会学到什么？
了解 {@html} 的风险，以及如何清理不受信任的 HTML 你通过在浏览器中直接运行的动手代码来练习 Sveltejs Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Sveltejs Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Sveltejs Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 2 节课，共 4 节。
「{#html} 中的 XSS 防护」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Sveltejs Academy 课中编写并运行代码吗？
能。每节 Sveltejs Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。
此课程中的所有课时
- 表单操作中的 CSRF 防护
- {#html} 中的 XSS 防护
- 环境变量：$env/static 与 $env/dynamic
- 使用钩子进行速率限制