使用Angular Renderer2时何时需做内容清理？createText是否需处理？

我在Angular里用Renderer2创建文本节点时，先把字符串€£通过DomSanitizer按SecurityContext.HTML规则做了清理，结果输出变成了HTML实体€£。我习惯在使用Renderer2前清理所有输入，但这次出现了预期外的结果。

代码示例 #

const text = '€£';
const safeText = this.domSanitizer.sanitize(SecurityContext.HTML, text) as string;
const child = this.renderer.createText(safeText);
const spanElement = this.renderer.createElement('span');
this.renderer.appendChild(spanElement, child);
this.renderer.appendChild(this.viewContainer.element.nativeElement, spanElement);          

生成的输出 #

生成的输出为：€£

原生DOM方法如createTextNode或innerText是安全的，但Renderer2的createText文档未提及底层实现机制，所以我不清楚哪些用法安全、哪些不安全。

核心疑问 #

• createText是否无需进行内容清理？
• 如何判断何时需为Renderer2的内容做清理？相关规则是否有官方文档？
• 当前安全的用法在Angular后续版本中是否仍可靠？

注：我知道可以改用spanElement.innerHTML = safeText这类代码，但我并非寻求该特定场景的替代方案。

问题解答 #

问题根源 #

你误用了DomSanitizer的适用场景：SecurityContext.HTML是用来处理HTML结构内容的，它会把特殊字符转义成HTML实体（比如€被转成€）。但Renderer2的createText是创建纯文本节点，文本节点本身会自动解析HTML实体为对应字符，你先做了HTML sanitize相当于做了一次转义，文本节点又处理了一次，最终导致双重转义（€变成€）。

针对疑问的具体解答 #

1. createText无需做HTML规则的清理
   文本节点本身不会解析HTML标签，只会渲染纯文本，不存在XSS风险。直接传入原始字符串即可，完全不需要通过SecurityContext.HTML做sanitize。Angular的文本绑定（如{{}}）和createText都是默认安全的，因为它们从根源上不会把内容当作HTML解析。

2. 判断何时清理的规则

   • 当你需要把内容插入为HTML结构时（比如使用innerHTML、Renderer2.setProperty(element, 'innerHTML', ...)），才需要用SecurityContext.HTML做sanitize，或者在确认内容绝对安全的情况下使用bypassSecurityTrustHtml。
   • 当处理的是纯文本（包括createText、文本绑定、innerText/textContent），不需要做HTML sanitize——这些场景下内容只会被当作纯文本渲染，不会解析任何HTML标签或实体（除了文本节点自身的实体解析逻辑）。
     Angular官方安全文档明确区分了不同场景的处理方式，核心判断依据就是内容最终会被当作HTML还是纯文本处理。

3. 安全用法的版本兼容性
   Renderer2是Angular对DOM操作的抽象层，其核心行为（比如createText创建纯文本节点）完全遵循Web标准。Angular后续版本不会随意更改这种基础API的行为，只要你遵循“纯文本场景不做HTML sanitize”的规则，当前的安全用法在未来版本中依然可靠。

内容的提问来源于stack exchange，提问作者Wilt