关于.innerHTML与.html()方法恶意注入漏洞的使用风险问询

核心结论 #

你描述的场景下不存在XSS安全风险。
只要插入的HTML内容完全是代码中写死的常量、没有拼接任何外部不可信输入（用户输入、查询字符串、第三方接口返回字段、用户本地存储内容等都属于外部不可信输入），使用.html()或者.innerHTML的行为和你直接在HTML文档中写对应标签没有任何差异，不会引入额外安全问题。

仍需注意的边缘情况 #

哪怕你确定用的都是自有代码的内容，也有几个容易忽略的风险点要规避：

• 不要误将「看似可控实际可被外部篡改」的内容视为完全可信内容：比如拼接的内容来自后台可配置的字段、从公共CDN加载的配置项，只要这些内容的修改权限不是完全掌握在可信的内部团队手中，依旧有被注入恶意代码的可能
• 如果HTML字符串中拼接了业务逻辑产生的动态变量，要确保所有变量的可能取值都是完全可控的：比如你拼接了后端返回的运营配置内容，要确保该字段不会被普通用户篡改、后端也做了严格的内容校验
• 写死的HTML本身不要包含危险逻辑：比如href="javascript:xxx"这种伪协议链接、内联事件属性中包含不安全的逻辑，哪怕是自己写的内容也可能导致逻辑层面的安全漏洞

内容的提问来源于stack exchange，提问作者Platoscave