jQuery的html()方法是否与innerHTML存在相同安全风险？

你问到的这个点非常关键——答案是肯定的，两者存在完全相同的安全风险，本质上它们的核心实现逻辑是一致的。

其实jQuery的html()方法在底层很多场景下就是直接调用了原生的innerHTML来完成内容替换。比如你给出的示例代码：

$("#saveContact").html("Save"); 
var saveContact = document.getElementById("saveContact");
saveContact.innerHTML = "Save";

这两段代码在当前场景下都是安全的，因为你传入的是纯文本"Save"，没有任何HTML标签或可执行脚本内容。但如果传入的内容是不可信的用户输入（比如用户提交的评论、表单内容等），风险就会立刻显现：

举个恶意场景的例子，假设userInput是用户输入的恶意内容，比如<script>alert('窃取你的信息')</script>，如果用下面的写法：

$("#saveContact").html(userInput);
// 或者原生写法
saveContact.innerHTML = userInput;

两种写法都会解析并执行传入的HTML/脚本内容，直接导致XSS（跨站脚本攻击）——恶意脚本会在用户的浏览器中运行，可能窃取Cookie、篡改页面内容，甚至发起更严重的攻击。

那如果只是要设置纯文本内容，怎么确保安全？推荐使用专门的文本设置方法：

• jQuery中用text()方法：$("#saveContact").text(userInput);
• 原生JS中用textContent属性：saveContact.textContent = userInput;

这两个方法会把所有传入的内容当作纯文本处理，不会解析任何HTML标签，从根源上规避了XSS风险。

内容的提问来源于stack exchange，提问作者cela