حدود الثقة الأمنية في JavaScript المتصفح

const label = document.createElement("span");
const externalTitle = "<em>sale</em>";
label.textContent = externalTitle;
console.log(label.textContent);
console.log(label.childElementCount);

<em>sale</em>
0

تحفظ التسمية حرفياً ولا ينشأ em. وتحتاج سياقات العنوان والوسوم سياسات مختلفة.

function allowedDestination(input) {
  try {
    const url = new URL(input, "https://learning.example");
    return url.protocol === "https:" && url.origin === "https://learning.example";
  } catch { return false; }
}
console.log(allowedDestination("/courses"));
console.log(allowedDestination("https://other.example/courses"));
console.log(allowedDestination("javascript:alert(1)"));

true
false
false

يفصل التحليل البروتوكول والأصل قبل المقارنة، ويرفض عنوان javascript التوضيحي ولا ينفذه.