3条回答 默认 最新
- CSDN专家-showbo 2022-09-19 21:22关注
设置dom的innerHTML,里面的js代码并不会执行,虽然是蓝色的,vue的xss注入一般通过v-html绑定富文本,但是包含script不会执行
改为dom事件,比如img的onerror事件来自动执行,示例如下<div id="app"> <div v-html="msg"></div> </div> <script src="https://cdn.jsdelivr.net/npm/vue@2/dist/vue.js"></script> <script> var vue = new Vue({ el: '#app', data: { msg: '<img onerror="alert(11)" src="xx">' } }) </script>
本回答被题主选为最佳回答 , 对您是否有帮助呢?解决 1无用