认知服务知识库中HTML元素新属性添加方案咨询

你遇到的HTML属性被自动移除，是Azure认知服务知识库（原QnA Maker，现归属Azure AI语言服务自定义问答模块）的内置XSS安全清洗机制导致的，和写法无关：

• 富文本答案编辑器有固定的HTML白名单规则，所有on*开头的内联事件属性（包括onclick/onload/onmouseover等）属于高危属性，无论你怎么改转义符、换标点写法，都会被过滤器识别后强制剥离，没有办法绕过清洗规则直接在知识库存储内联事件代码。
• 目前白名单内允许保留的属性非常有限：a标签仅支持href、target、title、class、style、data-*自定义属性，其他不在列表内的属性保存时都会被自动删除。

方案1：前端渲染层统一绑定事件（推荐，长期稳定） #

这是官方规则下完全合规、不会被平台更新影响的实现方式：

1. 在知识库答案中，给需要触发交互的元素加上可识别的class标识或者data-*自定义属性（这类属性在白名单内，不会被过滤），示例代码：

<a href="#" class="qa-custom-action" data-logic="test-log">Operatore</a>

2. 当你通过API拉取知识库答案、在自己的前端页面完成DOM渲染后，在自有前端代码里给对应元素统一绑定事件，示例JS代码：

// 答案内容渲染到容器后执行事件绑定
document.querySelectorAll('.qa-custom-action').forEach(item => {
  item.addEventListener('click', e => {
    e.preventDefault();
    const actionType = item.dataset.logic;
    switch(actionType){
      case 'test-log':
        try{console.log("test");}catch(err){}
        break;
      // 其他自定义交互逻辑可在此扩展
    }
  })
})

这个方案不需要在知识库存储任何JS代码，完全符合平台安全要求，后续调整交互逻辑也不需要批量修改知识库内容，只需要更新前端代码即可，维护成本最低。

方案2：href伪协议实现（不推荐，稳定性差） #

如果你的场景暂时无法修改前端绑定逻辑，可以尝试把JS逻辑写在href的javascript伪协议里，部分历史版本的知识库不会过滤这类写法，示例：

<a href="javascript:try{console.log('test');}catch(i){}">Operatore</a>

这个方案存在明显缺陷：一是部分现代浏览器会默认拦截javascript伪协议的代码执行，二是平台后续安全迭代很可能将这类写法加入过滤规则，随时可能失效。

你之前尝试的两种写法都无法达到目的：

• 标准onclick属性会直接被XSS过滤器匹配删除，根本不会被保存
• 把onclick后的等号改成冒号不符合HTML语法规范，就算侥幸存进知识库，浏览器也不会将其识别为事件绑定，没有任何实际效果。

内容的提问来源于stack exchange，提问作者Mirko Cianfarani