DOM文本节点是否保证不会被解释为HTML？

有谁知道浏览器是否保证Node类型的DOM Text不被解释为HTML？

更多细节如下.

背景

我正在为朋友建立一个简单的网络评论系统,我一直在考虑XSS攻击.我不认为过滤或转义HTML标签是一个非常优雅的解决方案 - 很容易想出一个会过滤掉过滤器的卷积.根本问题在于,我想保证,对于某些内容(即随机未经身份验证的Web用户POST的内容),浏览器永远不会尝试解释或运行内容.

简单(文本)开始

想到的第一个想法就是使用Content-Type: text/plain,但这必须适用于整个页面.您可以IFRAME在页面中间放置一个明文,但它很难看,如果用户点击框架,它会产生焦点问题.

的innerText /的textContent/JQuery的

事实证明,有些浏览器特定的(innerText在IE中,textContent在FF,Safari等中)属性,在设置时,需要创建单个Text节点.

JQuery试图通过实现一个text(val)跳过特定于浏览器的属性并直接进入的函数来避免浏览器特定属性的差异document.createTextNode(text),正如您所猜测的那样,创建一个Text节点.

W3 DOM Text Node小号

所以我认为这接近我想要的,它看起来很好 - Text节点不能有孩子,看起来它们不能被解释为HTML.但我不是100%肯定官方文件.

界面Node:http://www.w3.org/TR/DOM-Level-3-Core/core.html#ID-1950641247

界面Text:http://www.w3.org/TR/DOM-Level-3-Core/core.html#ID-1312295772

textContent:http://www.w3.org/TR/DOM-Level-3-Core/core.html#Node3-textContent

部分来自textContent特别令人鼓舞,因为它说"在设置时,也不执行解析,输入字符串被视为纯文本内容." 但这是所有Text节点的基础,还是只有你设置的节点textContent？这似乎是一个愚蠢的狡辩,但它可能很重要,因为IE不支持textContent(见上文).

回到最初的问题

任何人都可以确认/拒绝这将有效吗？也就是说,无论内容是什么,符合w3 DOM的浏览器都不会将Text节点解释为HTML？我非常感激这种折磨的不确定性已经解决了.

感谢您的时间!

是的,这已得到证实,在某种程度上,对于浏览器而言,浏览器会出现严重缺陷.呈现除文本之外的任何内容的文本节点都是矛盾的.通过使用document.createTextNode("some string"); 并附加该节点,保证字符串呈现为文本.