title: useHeadSafe:安全生成HTML头部元素

date: 2024/7/17

updated: 2024/7/17

author: cmdragon

excerpt:

摘要:“useHeadSafe”是Vue.js组合函数,用于安全生成HTML头部元素,通过限制输入值格式避免XSS等安全风险,提供了安全值白名单确保只有安全属性被添加。

categories:

  • 前端开发

tags:

  • 安全
  • 编程
  • Vuejs
  • HTML
  • XSS
  • 前端
  • 组件



扫描二维码关注或者微信搜一搜:编程智域 前端至全栈交流与成长

在构建网站时,我们常常需要在HTML文档的头部添加各种元信息,如<meta>标签、<script>标签、<link>

标签等,这些信息对于搜索引擎优化、页面加载性能优化、以及用户交互体验都至关重要。然而,直接在JavaScript中动态生成HTML头部元素时,可能会引入安全风险,比如XSS(跨站脚本攻击)。

useHeadSafe是一个用于安全生成HTML头部元素的Vue.js组合函数,它通过限制输入值为安全的格式,避免了潜在的安全风险。

安全使用useHeadSafe

useHeadSafe函数的使用方式与useHead

类似,但其核心功能在于确保所有输入的数据都是安全的,避免了直接使用用户输入数据时可能带来的安全风险。以下是如何使用useHeadSafe

的基本语法:

import { useHeadSafe } from 'unhead'

export default {
setup() {
const headData = {
script: [
{ id: 'xss-script', innerHTML: 'alert("xss")' }
],
meta: [
{ 'http-equiv': 'refresh', content: '0;alert(1)' }
]
} const { head } = useHeadSafe(headData) // 使用生成的头部元素
return {
head
}
}
}

安全值白名单

useHeadSafe函数内部使用了安全值白名单,确保只有白名单内的属性可以被添加到HTML元素中。以下是白名单的详细内容:

  • htmlAttrsid,class,lang,dir
  • bodyAttrsid,class
  • metaid,name,property,charset,content
  • noscriptid,textContent
  • scriptid,type,textContent
  • **link

    **:id,color,crossorigin,fetchpriority,href,hreflang,imagesrcset,imagesizes,integrity,media,referrerpolicy,rel,sizes,type

示例:创建一个简单的登录页面

假设我们正在创建一个简单的登录页面,需要在页面加载时自动刷新页面,同时添加一个安全的<script>

标签来执行一些JavaScript代码。我们可以这样使用useHeadSafe

<template>
<div>
<h1>登录页面</h1>
<!-- 页面内容 -->
</div>
</template> <script> export default {
setup() {
// 定义头部信息
const headData = {
title: '登录',
meta: [
{ charset: 'utf-8' },
{ name: 'viewport', content: 'width=device-width, initial-scale=1' },
{ hid: 'description', name: 'description', content: '登录页面' },
],
script: [
{ src: 'https://example.com/login.js', async: true },
],
link: [
{ rel: 'icon', type: 'image/x-icon', href: '/favicon.ico' },
],
}; // 使用useHeadSafe确保头部信息的安全
const { head } = useHeadSafe(headData); // 返回head对象,以便在模板中使用
return {
head,
};
},
};
</script>

余下文章内容请点击跳转至 个人博客页面 或者 扫码关注或者微信搜一搜:编程智域 前端至全栈交流与成长,阅读完整的文章:useHeadSafe:安全生成HTML头部元素 | cmdragon's Blog

往期文章归档:

useHeadSafe:安全生成HTML头部元素的更多相关文章

  1. vscode笔记(一)- vscode自动生成文件头部注释和函数注释

    VsCode 自动生成文件头部注释和函数注释 作者:狐狸家的鱼 本文链接:vscode自动生成文件头部注释和函数注释 GitHub:sueRimn 1.安装插件KoroFileHeader 2.设置 ...

  2. HTML块元素,行内元素,类,头部元素

    总结HTML块元素,行内元素,类,头部元素 块元素: 在HTML中,块级元素的高度为其内容的高度,宽度会扩展到与父容器同宽.默认情况下,块级元素会独占一行,并且元素前后行留空. 示例:<h1&g ...

  3. 表单组件 form fastadmin(生成表单元素)

    Form组件 定义文件位置: /extend/fast/Formphp 通用参数 $name 通常为我们组件的名称(name属性值),我们在后台接收时可以通过这个名称来获取到它所对应的值 $value ...

  4.  sublime text3快速生成html头部信息(转)

    sublime text3快速生成html头部信息  https://blog.csdn.net/sunshinegirl_7/article/details/49802579 经常见别人创建新的ht ...

  5. sublime text3安装后html:5+Tab不能快速生成html头部信息的解决办法

    sublime text3安装后html:5+Tab不能快速生成html头部信息的解决办法: 需要下载Emmet插件,按网上写的步骤按ctrl+shift+P打开命令面板,输入install,鼠标点击 ...

  6. Iphone上对于动态生成的html元素绑定点击事件$(document).click()失效解决办法

    在Iphone上,新生成的DOM元素不支持$(document).click的绑定方法,该怎么办呢? 百度了N久都没找到解决办法,在快要走投无路之时,试了试Google,我去,还真找到了,歪国人就是牛 ...

  7. 通过Ztree生成页面html元素Dom树,以及拖拽改变元素的位置

    zTree 是一款依靠 jQuery 实现的多功能 "树插件",http://www.treejs.cn/v3/main.php#_zTreeInfo,功能强大,不多赘述. 下面我 ...

  8. sublime text3快速生成html头部信息

    1.在网站开发过程中尤其写前台页面时要写头部很麻烦,怎么办呢?直接生成不更好吗? 这是快速生成的信息 2.方法: ctrl+shift+P打开命令面板 点击安装控制器 3.输入emmet 安装(以下图 ...

  9. sublime3中如何快速生成html头部信息

    前提要安装Emmet 插件:已经结束了啊,不要以为下面的操作跟问题有关,下面是具体的生成头部信息方法 输入下边加粗的缩写,然后Tab,就可以了: 生成html4.01 Transitional用 ht ...

  10. jQuery为动态生成的select元素添加事件的方法

    项目中需要在点击按钮时动态生成select元素,为防止每次点击按钮时从服务器端获取数据(因为数据都是相同的),可以这样写代码 1.首先定义全局js变量 var strVoucherGroupSelec ...

随机推荐

  1. 零代码零硬件玩转华为云IoT,基于设备联动实时监控设备

    本文分享自华为云社区<一键守护,实时洞察:华为云IoT设备联动,智能感知设备状态变化,精准触发告警通知[零代码零硬件玩转华为云IoT]>,作者:周周的奇妙编程. 前言 在前面我们已经体验过 ...

  2. 可视化学习:使用极坐标参数方程和SDF绘制有趣的图案

    前言 本文将介绍如何使用极坐标参数方程和上一篇文章提到的距离场SDF来绘制有趣的图案. 说到曲线和几何图形的绘制,我们知道图形系统默认支持的是通过直角坐标绘制,但是有些曲线呢,不太容易使用直角坐标系来 ...

  3. MQTT 实践总结

    QMQX 文档:https://www.emqx.io/docs/zh/latest/ MQTT 入门:https://www.emqx.com/zh/mqtt-guide 通过案例理解 MQTT 主 ...

  4. c#事件的实际应用场景

    最简单的定义事件的语法 public event Action<bool> Refreash; 先介绍这个Action 这个Action是委托的快速实现方式,我用.net framewor ...

  5. Base64编码解码 支持解码为 16进制

    https://base64.xhlylx.com/

  6. 滴滴面试:谈谈你对Netty线程模型的理解?

    Netty 线程模型是指 Netty 框架为了提供高性能.高并发的网络通信,而设计的管理和利用线程的策略和机制. Netty 线程模型被称为 Reactor(响应式)模型/模式,它是基于 NIO 多路 ...

  7. JavaSE数组

    目录 数组 概念 如何创建数组 数组的访问与迭代 二维数组 定义: 数组的声明 数组创建(会自动进行初始换为0) 数组遍历 数组 概念 ​ 在Java中,数组是一种用于存储多个相同类型元素的数据结构. ...

  8. vue3 KeepAlive

    在Vue.js 3中,<keep-alive> 是一个抽象组件,用于保留其子组件状态,防止在切换组件时销毁它们.这对于在页面间切换时保留组件的状态或避免重复渲染特定组件非常有用.<k ...

  9. 神奇的JavaScript弱等价类型转换

    JavaScript语言特性 - 类型转换 JavaScript这门语言的类型系统从来没有它表面看起来的那样和善,虽然比起Java.C#等一众强类型语言,它的弱类型使用起来似乎是如此便利,但正因为它极 ...

  10. 比较 SpringSecurity 和 Shiro

    相比 Spring Security, Shiro 在保持强大功能的同时,使用简单性和灵活性. SpringSecurity: 即使是一个一个简单的请求, 最少得经过它的 8 个Filter.Spri ...