setHTML: innerHTML 的替代品

7 April, 2026 - Tags: TIL, web

最近看到一篇文章 Goodbye innerHTML, Hello setHTML: Stronger XSS Protection in Firefox 148，介紹了 setHTML 這個 API，可以用來替代 innerHTML 做更有效的 XSS 防禦，API 相當簡單，也可以根據需求調整 sanitize 的 config。照文章所述，雖然 CSP 應是更全面的防禦，但到目前為止其實沒還有被大量採用，畢竟使用的成本相對高上不少，也不是所有情況都適用。根據 WICG 的 repo，目前相關的標準應還在草稿階段，但現代的 Firefox 跟 Chrome 應該都可以使用了，等到正式成為標準後或許我們就不大需要 DOMpurify 等第三方套件。