TrustedHTML

Интерфейс TrustedHTML из API Trusted Types представляет собой строку, которую разработчик может вставить в ток ввода-вывода, который отобразит её как HTML. Эти объекты создаются с помощью TrustedTypePolicy.createHTML() и поэтому не имеют конструктора.

Значение объекта TrustedHTML устанавливается при создании объекта и не может быть изменено JavaScript, так как нет доступного метода установщика.

TrustedHTML.toJSON()

Возвращает JSON-представление сохранённых данных.

TrustedHTML.toString()

Строка, содержащая очищенный HTML.

В примере ниже создаётся политика, которая создаёт объекты TrustedHTML с помощью TrustedTypePolicyFactory.createPolicy(). Затем мы можем использовать TrustedTypePolicy.createHTML() для создания очищенной HTML-строки, которую нужно вставить в документ.

Очищенное значение можно использовать с Element.innerHTML, чтобы гарантировать, что новые HTML-элементы не могут быть внедрены.

<div id="myDiv"></div>

const escapeHTMLPolicy = trustedTypes.createPolicy("myEscapePolicy", {
  createHTML: (string) => string.replace(/</g, "&lt;"),
});

let el = document.getElementById("myDiv");
const escaped = escapeHTMLPolicy.createHTML("<img src=x onerror=alert(1)>");
console.log(escaped instanceof TrustedHTML); // true
el.innerHTML = escaped;

• Предотвращение уязвимостей XSS на основе DOM с помощью Trusted Types