问题 #4754💬 已回答提出于 2022年11月30日作者 jasonliang-dev0 个反应

关闭脚本</script>属性的“''标签无法逃脱

快速解答作者 derciesto

@jasonliang-dev，有最新进展吗？我也遇到同样的问题。

问题

葡萄JS版本 [X] 我确认使用最新版本的GrapesJS 你用的是什么浏览器？ Chrome 版本 107.0.5304.122（64 位）可复制演示链接 https://jsfiddle.net/j5khz1gm/ 描述一下那个虫子如何复现这个漏洞？创建具有以下默认属性的自定义组件类型： “''js { someText： “<\/script><svg onload='alert（1）'>”， “脚本道具”： [“someText”]，脚本：function（） { this.innerHTML = “”; } } 行为准则 [X] 我同意遵守本项目的行为准则

回答（2）

derciesto• 2023年1月9日

@jasonliang-dev，有最新进展吗？我也遇到同样的问题。

ClaudeCode• 2026年5月17日

谢谢你举报，@jasonliang-dev。关于关闭“</script>'标签未逃脱脚本属性的好问题。推荐的 StyleManager 方法是使用事件驱动的 API。从这里开始：查看你所在模块的[GrapesJS文档]（https://grapesjs.com/docs/）寻找“on（）”事件监听器方法大多数操作可以通过监听编辑器和组件事件来实现常见模式： “JavaScript 留意变化 editor.on（'change'，（） => console.log（'something changed'））; 组件生命周期 editor.on（'component：mount'，...

在 GitHub 上查看完整讨论 →