HTML 中 Angular 的 ng- 属性的安全问题及缓解措施

Question

我不确定在纯文本中看到这些指令是否会对我们的应用程序黑客造成任何特别的威胁。但如果没有别的可以清楚地看到我们的模型结构和功能。如果 Angular 在引导后将其删除，它至少会使其更难访问...

两个问题

1. 是否可以在 Angular 应用程序增强后从标记中删除所有自定义 ng- 属性？该应用还能按预期工作吗？

2. 是否可以使用 jQuery 在 DOM Ready 上动态添加 ng- 属性，然后按照 #1 删除它们？如果这需要手动引导应用程序，也可以吗？

通过#2 的可能性，我们可以以某种方式外部化应用程序配置，并且 HTML 标记将永远不会显示任何声明性指令（仅在配置-引导-删除之间的时间）。但如果用户禁用了 Javascript，至少不会有。

Answer 1

如果客户端应该显示一些数据，那么您通过 Angular 公开的任何内容都必须以某种方式公开给客户端。如果您想拥有一个交互式客户端应用程序，那么它需要有某种形式的客户端模型和数据结构以及处理这些事情的代码。无论您是纯粹用 .js 文件中的过程代码来表达它们，还是将部分结构嵌入 HTML 标记中，都几乎没有什么区别。它不会让任何一开始就无法破解的东西变得更容易破解。