HTML 规范变更：对属性中的 < 和 > 进行转义
内容提要
HTML规范将于2025年5月20日更新，开始对属性中的<和>进行转义，以防止突变XSS漏洞。此变更影响使用innerHTML和outerHTML提取属性的代码，但不影响DOM API的使用。使用Chromium和Firefox的用户将于2025年6月24日体验此更改。
关键要点
-
HTML规范将于2025年5月20日更新，开始对属性中的<和>进行转义，以防止突变XSS漏洞。
-
此变更影响使用innerHTML和outerHTML提取属性的代码，但不影响DOM API的使用。
-
使用Chromium和Firefox的用户将于2025年6月24日体验此更改。
-
更改后，属性中的<和>字符将始终进行转义。
-
此更改不会影响HTML解析，使用DOM API检索属性值将返回相同的解码值。
-
使用innerHTML或outerHTML提取属性的代码可能会中断，建议使用DOM API。
-
CI/CD流水线中的端到端测试可能会因属性包含<或>而中断，需要更新预期值。
-
此变更旨在提高安全性，防止突变XSS实例。
延伸解读
安全性提升的背景
此次HTML规范的变更旨在防止突变XSS漏洞，这是一种常见的网络攻击方式。通过对属性中的<和>进行转义，浏览器能够更有效地防止恶意代码的注入，从而提升网页的安全性。开发者应重视这一变化，以保护用户数据和网站安全。
对开发者的影响
开发者在使用innerHTML和outerHTML提取属性时，需注意代码可能会中断。建议优先使用DOM API来获取属性值，以避免潜在的兼容性问题。此外，CI/CD流水线中的端到端测试也需更新预期值，以适应新的转义规则。
兼容性与适应性
虽然此次变更对innerHTML和outerHTML有影响，但使用DOM API（如getAttribute和dataset）检索属性值不会受到影响。开发者应确保在代码中使用这些API，以保持与未来浏览器版本的兼容性，减少不必要的代码修改。
延伸问答
HTML规范的更新具体是什么内容？
HTML规范将于2025年5月20日更新，开始对属性中的<和>进行转义，以防止突变XSS漏洞。
这项变更对Web开发者有什么影响？
此变更影响使用innerHTML和outerHTML提取属性的代码，建议使用DOM API以避免中断。
使用innerHTML和outerHTML会出现什么问题？
使用innerHTML和outerHTML提取属性的代码可能会中断，返回的值将与之前不同。
如何避免因这项变更导致的代码中断？
建议使用DOM API（如getAttribute、dataset等）来检索属性值，以避免代码中断。
这项变更的实施时间是什么时候？
用户将在2025年6月24日体验此更改，使用Chromium和Firefox的用户将首先受到影响。
这项变更的安全性目的是什么？
此变更旨在提高安全性，防止突变XSS实例，保护用户免受潜在攻击。
