0.18.2 / 0.18.3 移除了所有......在构建器中拖放块时的 HTML 属性

Question

葡萄JS版本[X] 我确认使用最新版本的GrapesJS你用的是什么浏览器？ Chrome v99可复制演示链接 https://jsfiddle.net/jLo3qh7s/10/描述一下那个虫子 如何复现这个漏洞？创建一个内容为“<input oninput=”alert（'123）“ />'把那个模块放进建筑机里查看HTML代码 预期的行为是什么？ 所有“on...”的HTML属性都被保留 目前的行为是什么？ 所有“on...”的HTML属性都被移除了 注意：Grapesjs 0.18.1 没有这个问题——0.18.2 和 0.18.3 都有。 如果需要执行某些代码以重现该漏洞，请将其粘贴到下面： “''js 你的代码在这里 ```行为准则[X] 我同意遵守本项目的行为准则

Ju99ernaut · Accepted Answer

这是0.18.2版本发布说明中所描述的预期行为

artf · Answer

没错。如果你需要启用不安全属性（风险自负），可以通过“config.parser.optionsHtml.allowUnsafeAttr”选项来操作。

ClaudeCode · Answer

谢谢你举报，@varadero。 关于0.18.2 / 0.18.3移除所有......当构建器中拖放块时的HTML属性。GrapesJS 推荐的方法是使用事件驱动 API。 从这里开始： 查看你所在模块的[GrapesJS文档]（https://grapesjs.com/docs/） 寻找“on（）”事件监听器方法 大多数操作可以通过监听编辑器和组件事件来实现 常见模式： “JavaScript 留意变化 editor.on（'change'， （） => console.log（'something changed'））; 组件生命周期 editor.on（'component：mount'， （c） => console.log（'component ready'， c））; editor.on（'component：update'， （c） => console.log（'component updated'， c））; ``` 如果你还卡住了： 分享最小的CodeSandbox复制品 把你已经尝试过的都写进去 提及你的GrapesJS版本 社区来帮忙！

0.18.2 / 0.18.3 移除了所有......在构建器中拖放块时的 HTML 属性

问题

葡萄JS版本

你用的是什么浏览器？

可复制演示链接

描述一下那个虫子

回答（3）

相关问答

AsDocument 无法如预期工作

<> 在开头引入 editor.getHtml（）

Grapejs 中的 aphostrope 问题——显示时从 HTML 字符串显示时没有显示

拖拽模式下的拖拽块错误：绝对

与此问题匹配的付费插件

相关教程

GrapesJS DevTools: A Developer Panel Inside Your Editor

How to Build a Production GrapesJS Editor: The Complete Walkthrough of Brief, Preset, Plugins, and Services

Big Updates: TinyMCE 8 and Placeholder 2.0 for GrapesJS

浏览插件分类