dangerouslySetInnerHTML，React中显示html代码

梦醒在笑2023-08-03 22:38

dangerouslySetInnerHTML ，危险的设置内部HTML。"永远不要相信用户的输入"。

当用户输入或者获取到的数据是一段HTML代码的时候，dangerouslySetInnerHTML就可以把这一段代码变成HTML，然后插入到某个地方，类似JS中的innerHTML。

javascript 复制代码

const [description,setDescription] = useState('');

<div dangerouslySetInnerHTML={{__html:description}}></div>

使用 innerHTML 可能会导致 cross-site scripting (XSS) 攻击。开发者在执行"不安全"的操作的时候应该清楚地知道他们自己的意图。dangerouslySetInnerHTML 这个 prop 的命名是故意这么设

计的，以此来警告，它的 prop 值（一个对象而不是字符串）应该被用来表明净化后的数据。警示程序员，不要随意的使用该属性。

这么做的意义在于，{__html:...} 背后的目的是表明它会被当成 "type/taint" 类型处理。这种包裹对象，可以通过方法调用返回净化后的数据，随后这种标记过的数据可以。注意__html是两个_被传递给 dangerouslySetInnerHTML。

这个功能主要被用来与 DOM 字符串操作类库一起使用，所以提供的 HTML 必须要格式清晰（例如：传递 XML 校验）。