问题 #3779💬 已回答提出于 2021年9月15日作者 stljeff10 个反应

Editor.getSelected().toHTML() encodes inline javascript

快速解答作者 artf

你必须使用 allowScripts “''js const editor = Grapesjs.init（{ ... allowScripts： true， }); ``` 我没看到编码问题（用真正的检查器，不要用 jsfiddle beta 控制台，后者可能有个 bug）。

阅读下方完整回答 ↓

问题

GrapesJS 版本[X] 我确认使用最新版本 GrapesJS你用的是什么浏览器？最新款（镀铬）可复制演示链接 https://jsfiddle.net/4j1k0wde/24/描述一下那个虫子如何复现这个漏洞？创建带有脚本标签的方块。使用 editor.getSelected.toHTML() 获取该块的标记（以便用户在弹窗对话框中编辑该块的标记）预期的行为是什么？ ...我能拿到该区块的HTML，包括脚本标签及其内容目前的行为是什么？ ...要么没有脚本标签，要么特殊字符被编码。更多信息请见：https://github.com/artf/grapesjs/discussions/3776 使用16.12版本时， toHTML() 正常工作。我能获得所选组件的所有内容，包括原有JavaScript的脚本标签。使用较新版本的 GrapessJS （在我的机器上，在我的应用中）， toHTML() 返回带有JavaScript编码的脚本标签，编码方式如下： const form = document.getElementById('91003'); 在我创建的JSFiddle中，脚本标签甚至没有被 toHTML返回。关于我的JSFiddle——我知道我在组件工具栏添加编辑按钮的方式很复杂。我正在处理一个带有各种破解功能的遗留应用。不过，为什么...

回答（3）

artf• 2021年9月16日

你必须使用 allowScripts “''js const editor = Grapesjs.init（{ ... allowScripts： true， });

我没看到编码问题（用真正的检查器，不要用 jsfiddle beta 控制台，后者可能有个 bug）。

stljeff1• 2021年9月22日

谢谢！

GJSBlock• 2026年5月17日

谢谢你举报，@stljeff1。关于 editor.getSelected（）.toHTML（）编码内联 JavaScript 的好问题。推荐的组件方法是使用事件驱动的API。从这里开始：查看你所在模块的[GrapesJS文档]（https://grapesjs.com/docs/）寻找“on（）”事件监听器方法大多数操作可以通过监听编辑器和组件事件来实现常见模式： “JavaScript 留意变化 editor.on（'change'，（） => console.log（'something changed'））; 组件生命周期 editor.on（'component：m...

在 GitHub 上查看完整讨论 →