在用户定义的消息中呈现 html 内容

Question

我有一个网页，用户将在其中输入他的详细信息，然后单击提交，我通过 ajax 调用调用服务以将其保存在数据库中。然后我从使用 java REST webservices 编写的服务中捕获响应并将其显示在网页中。我正在显示消息“已成功保存详细信息”。此消息是从我的 java 服务层中的属性文件中读取的，并传递回网页。我目前需要将字体颜色更改为返回的文本。

我尝试将以下<font color="red">Details saved successfully</font> 添加到我的文件数据中，并且从服务层传递了相同的文本。在网页中，我看到没有为文本呈现字体颜色，并且上面带有 html 标签的整个文本都显示在网页中。我在js页面和html页面中使用$scope.status=response string，我渲染为<div id="test">{{status}}</div>

当我们将 html 标签作为字符串从服务层的属性传递到 js 页面时，有什么方法可以渲染它。我的目标不是更改现有的 html 代码，而是在从属性文件读取并作为字符串从服务传递时呈现 html 标记。

谢谢。

Answer 1

让用户提交包含在显示时呈现的 HTML 的数据可能存在安全风险。用户在他们“注入”到您的应用程序中的 HTML 代码中可能非常有创意。您可以在许多网站上找到有关该漏洞的更多信息。

当您需要添加一些标记时，您可能会考虑替代标记呈现方法，例如 BBCode 或 MarkDown。