为什么 Angular2 清理组件中的脚本标签？

Question

我完全理解，出于安全原因和防止 XSS 攻击，必须对用户输入进行清理： 清理来自文本字段或输入字段的输入。

但是，我很难理解为什么 Angular 会从组件模板中删除脚本元素。

就像官方文档里写的一样：

模板中的 HTML、属性和绑定表达式（但不是绑定的值）被认为是安全的

如果它们被认为是安全的，为什么脚本标签在编译时会自动删除？

我可能在这里遗漏了一个安全问题，但即使在阅读了有关 XSS 的文档后，我也不明白 Angular 组件模板中由 Angular 编译器编译的脚本标记如何危及安全性。

这里有人对此有答案吗？

Answer 1

这样想：当您编写 Angular 模板时，Angular 编译器会读取该模板并创建该模板正在执行的优化的 javascript 表示，并将优化的 javascript 提供给浏览器。

因此，当浏览器获取您的模板时，它实际上不再是 HTML - 它只是 javascript。因此，此时不支持从其他地方动态加载外部、未知且可能不安全的 javascript。