从history.state或sessionStorage渲染原始HTML是否安全？

首先，同源环境下，你用sessionStorage或history.state存储自家服务器fetch来的HTML，再用innerHTML渲染的安全性，和直接加载服务器页面是一致的——原因很简单：

• sessionStorage和history.state都是同源隔离的，只有你的域名下的脚本能读写这些数据，其他网站碰不到。
• 你fetch的HTML来自自己的服务器，只要服务器本身返回的内容是安全的（没有被注入恶意代码），那存在客户端再渲染就不会额外引入风险。

不过要警惕几个潜在的坑：

• 服务器端的XSS风险：如果你的服务器输出的HTML本身就有问题（比如用户提交的内容没转义就直接输出），那不管是直接加载还是存客户端再渲染，都会中招。这是服务器端的安全问题，和存储方式无关。
• 网站自身的XSS漏洞：如果你的网站有其他XSS漏洞（比如某个脚本被劫持），攻击者可以篡改你存在sessionStorage或history.state里的HTML，下次渲染时执行恶意代码。但这同样是网站本身的安全问题，不是这个存储方案带来的额外风险。
• history.state的容量限制：不同浏览器对history.state的存储大小限制不一样，普遍比sessionStorage小，如果你的HTML内容比较大，可能会存失败，建议测试下兼容性。

最后给个小建议：如果HTML里包含用户交互状态（比如表单填的内容、滚动位置），最好单独记录这些状态，不然用innerHTML渲染后可能会丢失用户之前的操作。

内容的提问来源于stack exchange，提问作者Austin Bravo