标签: 前端安全

本文探讨了 SVG 文件可能存在的 XSS 安全风险。在 `<img>` 和 `background-image` 中 SVG 作为图像渲染是安全的。但内联 SVG、通过 `object/iframe/embed` 引入 SVG、服务器 MIME 类型配置错误，以及 SVG 内部使用 `javascript:` 链接或事件属性都可能导致 XSS 漏洞。

React中安全渲染富文本需防范XSS攻击。避免直接使用`dangerouslySetInnerHTML`，推荐使用如DOMPurify和sanitize-html等过滤库。采用白名单策略，限制标签和属性，并对链接进行安全处理。前后端双重过滤，结合SSR，可提升安全性和性能。选择合适的过滤库并定期更新，是安全展示富文本的关键。