针对动态HTML渲染的DOMPurify过滤与安全净化实践-html教程-PHP中文网

必须配dompurify，因v-html等不做过滤，恶意script、onerror、javascript:伪协议会立即执行；最小安全配置需显式收紧allowed_tags、forbid_tags、allowed_attr及allowed_uri_regexp，并用hook补rel="noopener noreferrer"。

针对动态html渲染的dompurify过滤与安全净化实践

为什么直接用 `v-html` 或 `dangerouslySetInnerHTML` 必须配 DOMPurify

因为它们不做任何过滤，只把字符串原样塞进 DOM —— 恶意 <script></script>、onerror、javascript: 伪协议都会立刻执行。哪怕前端加了富文本编辑器限制，攻击者也能绕过界面，用 curl / Postman 直接 POST 恶意 HTML 到后端接口。DOMPurify 是唯一被广泛验证能系统性剥离 XSS 载荷的库，不是“可选”，是必须。

`DOMPurify.sanitize()` 的最小安全配置怎么写

默认配置放行太多（比如 style、class、data- 属性），容易被利用构造 CSS 注入或绕过。实际生产中应显式收紧：

ALLOWED_TAGS 只列业务真正需要的标签，例如 ['p','br','strong','em','a','ul','ol','li','code']，删掉 div、span 等容器型标签
FORBID_TAGS 显式禁用 ['script','style','iframe','object','embed','svg']（SVG 需额外处理）
ALLOWED_ATTR 严格限定，如 ['href','title','target']，不要加 class 或 style，除非你有完整 CSS 白名单
ALLOWED_URI_REGEXP 必须设为 /^(https?|ftp):/i，否则 javascript:alert(1) 会被放过

链接 `target="_blank"` 不加 `rel="noopener"` 会出什么问题

它会让新页面通过 window.opener 访问原页面上下文，恶意站点可调用 window.opener.location = 'https://phishing.site' 劫持你的页面。DOMPurify 默认不自动补 rel，必须手动加 hook：

HTML Extract

使用 MinerU 从 HTML 页面和文件中提取内容，将 HTML 转换为保持标题、列表、表格及文本层次结构的干净、结构化 Markdown。F...

下载

DOMPurify.addHook('afterSanitizeAttributes', node => {
  if (node.tagName === 'A' && node.hasAttribute('target')) {
    node.setAttribute('rel', 'noopener noreferrer');
  }
});

注意：只设 noopener 不够，noreferrer 还能防止 Referer 泄露；这个 hook 必须在调用 sanitize() 前注册，且不能漏掉条件判断（否则所有 a 标签都会被强制加）。