是否从HTML注入和XSS完全安全的createTextNode？

Question

我正在处理单个页面的webapp。我通过直接创建DOM节点来进行渲染。特别是，通过使用document.createTextNode("user data")创建文本节点，可以将所有用户提供的数据添加到页面中。

这种方法避免了HTML注入，跨站点脚本（XSS）以及用户可能做的所有其他恶意事件的可能性吗？

Answer 1

它创建一个纯文本节点，所以是，只要它走了。

虽然可以通过使用不安全的方法从输入到createTextNode的任何通道获取数据，但可能会创建XSS问题。

例如以下是不安全：

document.createTextNode('<?php echo $_GET['xss']; ?>'); 

...但其危险性是从PHP echo，而不是JavaScript的createTextNode。