Closing `</script>` tag not escaped for script properties

快速解答作者 derciesto

@jasonliang-dev，有最新进展吗？我也遇到同样的问题。

问题

GrapesJS 版本 [X] 我确认使用最新版本 GrapesJS 你用的是什么浏览器？ Chrome 版本 107.0.5304.122（64 位）可复制演示链接 https://jsfiddle.net/j5khz1gm/ 描述一下那个虫子如何复现这个漏洞？创建具有以下默认属性的自定义组件类型：将自定义组件添加到画布中获取带有 editor.getHtml()的页面HTML内容将HTML插入编辑器外的div 预期的行为是什么？本以为生成的HTML中会跳出关闭脚本标签。不应该出现警报对话框。目前的行为是什么？脚本标签不会逃逸。svg 标签显示在文档中。在本地 HTML 文件中使用下面的代码总是执行 alert(1)。不知为何，JSFiddle 中并不总是出现警报对话框。如果需要执行某些代码以重现该漏洞，请将其粘贴到下面：行为准则 [X] 我同意遵守本项目的行为准则

回答（2）

derciesto• 2023年1月9日

@jasonliang-dev，有最新进展吗？我也遇到同样的问题。

GJSBlock• 2026年5月17日

谢谢你举报，@jasonliang-dev。关于关闭“</script>'标签未逃脱脚本属性的好问题。推荐的 StyleManager 方法是使用事件驱动的 API。从这里开始：查看你所在模块的[GrapesJS文档]（https://grapesjs.com/docs/）寻找“on（）”事件监听器方法大多数操作可以通过监听编辑器和组件事件来实现常见模式： “JavaScript 留意变化 editor.on（'change'，（） => console.log（'something changed'））; 组件生命周期 editor.on（'component：mount'，...

在 GitHub 上查看完整讨论 →