在 Chrome 应用中使用 Polymer 动态创建模板

Question

我正在开发一个需要做两件主要事情的 Chrome 应用程序：

1. 根据连接设备提供的字段和数据类型列表自动生成 UI。
2. 允许用户为 UI 定义和共享他们自己的演示文稿，并在连接设备时自动应用该演示文稿。

我正在使用 Polymer，我认为实现 #2 的最佳方法是使用用户提供的 Polymer 元素。然后，我可以简单地将设备中的变量绑定到 UI，用户的模板可以确定如何显示和设置样式。

因此，实现#1 是从输入模式自动生成聚合物元素的问题。这与通常的方法有些不同，我可能会为每种类型的小部件定义一个带有条件子模板的重复模板。

那么，我的问题是：

1. 如何在不违反 Chrome 应用程序的 CSP 且不引入重大 XSS 问题的情况下从远程源动态评估聚合物元素/模板？ （希望前者能保护我免受后者的伤害？）
2. 为 Polymer 元素动态生成标记的最简单方法是什么？我可以定义一个元模板并使用生成的标记吗？

Answer 1

我不完全确定为什么要排除使用带有（诚然复杂的）<template> 逻辑的预定义 Polymer 元素，但如果您确定需要动态并生成元素的内容在仍然使用 Polymer 的数据绑定的同时，injectBoundHTML() 可能就是您想要的。

很遗憾，目前没有记录，但在open issue tracking the documentation 中有如何使用它的示例。

您可以从任何来源获取“绑定”的 HTML，虽然我不是 CSP 方面的专家，但我认为这不会引发任何额外的 CSP 考虑。