老程序员博客

一、所有标签默认允许的安全属性（极少）class （可选）id （通常建议禁用）title️ 注意：id 容易被滥用做锚点注入，很多系统直接禁用class 允许的话最好只允许固定前缀（如 editor-*）二、a 标签允许属性<a href="" title="" target="" rel=""> 允许属性说明href必须过滤协议title安全target只允许 _blankrel推...