html避免js脚本注入,如何在angularjs中呈现html之前防止脚本标记注入/加载？

var testApp = angular.module('testApp',['ngSanitize']);

testApp.controller('TestController',function($scope,$sce){

\t $scope.htmlString = "Test HTML";

\t $scope.toTrusted = function(htmlContent) {

\t \t if(htmlContent && htmlContent != "") {

\t \t \t return $sce.trustAsHtml(htmlContent); \t \t \t

\t \t }

\t \t return "";

\t };

});

\t

\t

\t

\t

我使用NG绑定，HTML渲染字符串作为html.Sometimes我收到脚本标签在HTML字符串，我不希望注入/负载脚本tag.So又该我会阻止脚本标记。

我也搜索了这个问题的解决，有人说，刚刚从字符串渲染html.So请有人建议me.What是更好的方式来做到这一点之前删除脚本标签？

我正在开发聊天应用程序的帮助下，angularjs和firebase.And用于呈现聊天消息我使用ng-bind-html指令。我注意到，如果用户发送脚本标记作为聊天消息的一部分，但给出的脚本是正在运行。所以我想限制这个脚本运行。

+0

好吧，我很困惑。脚本标签位于您的字符串中。为什么你不能把它拿出来？ –

+0

您应该清理html字符串以仅允许限制标签子集。 –

+0

我会清理所有的HTML元素，并实现某种形式的降价语法为您的聊天消息。使它更安全，同时我发现markdown比HTML更容易编写此类内容(Think GitHub自述文件)。 –