React中渲染用户表单输入状态值是否存在XSS漏洞？

直接渲染状态变量的值（不使用dangerouslySetInnerHTML）是安全的，原因如下：

• React默认会对所有要渲染的文本内容进行转义处理：它会把<script>、<img src="x" onerror="alert(1)">这类HTML标签或脚本代码转换成对应的HTML实体（比如<变成<），浏览器只会将其当作普通字符串显示，不会解析执行任何HTML或JavaScript代码。
• 举个实例：如果用户输入<script>alert('XSS')</script>，React渲染后页面会显示纯文本内容，而非弹出警告框——因为转义后的内容是<script>alert('XSS')</script>，浏览器只会将其识别为普通字符串。

只有当你主动使用dangerouslySetInnerHTML，或通过其他方式将用户输入当作HTML/JS代码插入页面时，才会存在XSS攻击风险。你当前采用的是React官方推荐的安全渲染方式，完全无需担心XSS问题。

内容的提问来源于stack exchange，提问作者mycodebroke