Как захватить только текст элементов HTML безопасным и безопасным способом

Question

Так "<h1>Hello World</h1>" просто вернет «Hello World».

Я пробовал:

$('<div>').html('<h1>Hello World</h1>').text() 

И это отлично работает в большинстве случаев, но это действительно открывает собой XSS уязвимость, когда строка что-то вроде этого: <img src=1 onerror=alert(/XSS/)>, когда я ожидаю, что это возвращать пустая строка

Answer 1

Вы можете попробовать этот код найден здесь- Fastest method to escape HTML tags as HTML entities?

function sanitize(str) { 
    return str.replace(/&/g,'').replace(/</g,'').replace(/>/g,''); 
} 

В вашем примере, если предположить, что есть HTML, который выглядит следующим образом:

<div><img src=1 onerror=alert(/XSS/)></div> 

просто дезинфицировать его так:

var string = $('div').text(); 
var sanitized = sanitize(string); // "img src=1 onerror=alert(/XSS/);"