TrueLink 誠通數位 Blog

innerHTML 是不可信的：插值前一律 escape 或 Number() 強制轉型防 XSS

innerHTML 是 XSS 攻擊的高風險源頭，如果你直接把資料塞進 DOM 而不轉型或 escape，攻擊者可以插入惡意腳本。TrueLink 的產線策略是：把資料當資料，而不是 HTML。