关于Angular中DomSanitizer的疑问：为何未清除全部HTML标签？

先纠正核心误解 #

DomSanitizer的默认行为不是清除所有HTML标签，它的核心职责是过滤掉不安全的内容——比如<script>标签、带onclick/onload这类事件属性的元素、javascript:伪协议的链接等，而像<p>、<b>、<span>这类常规的安全标签会被完整保留。这就是你看到部分标签没被清除的根本原因。

你的操作问题排查 #

从你提供的示例来看，应该是混淆了“过滤不安全内容”和“移除所有HTML标签”这两个不同需求：

• 如果你用的是this.sanitizer.sanitize(SecurityContext.HTML, htmlContent)，它只会剔除不安全的元素/属性，安全标签完全会保留；
• 若你需要彻底清除所有HTML标签，DomSanitizer本身并不提供这个功能，得额外做处理。

实现完全移除HTML标签的方法 #

如果你的需求是把HTML文本转成纯文本（彻底去掉所有标签），可以用这两种方法：

1. 简单场景用正则表达式

stripAllHtml(html: string): string {
  return html.replace(/<[^>]*>/g, '');
}

2. 复杂场景用DOM解析（更可靠）
   正则可能漏处理一些特殊标签（比如嵌套标签、自闭合标签），这种情况用DOM解析更稳妥：

stripAllHtml(html: string): string {
  const tempDiv = document.createElement('div');
  tempDiv.innerHTML = html;
  return tempDiv.textContent || tempDiv.innerText || '';
}

⚠️ 注意：如果处理的是用户提交的内容，建议先通过DomSanitizer过滤不安全内容，再移除标签，避免残留XSS风险：

safeStripAllHtml(html: string): string {
  const sanitizedContent = this.sanitizer.sanitize(SecurityContext.HTML, html);
  return sanitizedContent ? sanitizedContent.replace(/<[^>]*>/g, '') : '';
}

补充说明 #

很多博客讲DomSanitizer时，重点都放在它的XSS防护能力上，不会特意说明“保留安全标签”这个预期行为，所以你会觉得实际结果不符合预期。总结一下：

• 要展示安全的HTML内容：用[innerHTML]="sanitizedHtml"，必要时配合bypassSecurityTrustHtml（仅限内容绝对安全的场景）；
• 要纯文本展示：用上面的标签移除方法。

内容的提问来源于stack exchange，提问作者JSR246