Knockoutのバリューバインディングを使用してスクリプトを注入する可能性はありますか？

Question

私はノックアウトがこの状況を処理すると思うが、確認したいと思った。 input/textareaのようなフォームコントロールを使ってバリューバインディングを使用すると、スクリプトインジェクション攻撃の危険はないのは本当ですか？

または、ビューモデルで値を設定する前に値がエンコードされていることを確認するには何かする必要がありますか？

Answer 1

値はそのままビューモデルに保存されます。それはあなたの使い方によって異なります。 textバインディングは、値を設定するためにinnerText/textContentを使用してコンテンツをエンコードします。だから、あなたはそこでは安全です。 htmlバインディングをvalueバインディングで設定したコンテンツで使用する場合は、スクリプトを挿入することができます。

詳細については、ノックアウトdoco About HTML encodingをご覧ください。