在 Web 安全的历史长河中，跨站脚本攻击（XSS）始终是开发者最头疼的难题之一。自 2014 年以来，XSS 漏洞一直稳居 OWASP Top Ten 前三名，成为影响范围最广的安全威胁之一。传统防护手段如内容安全策略（CSP）虽然提供了强大的防御机制，但因其复杂的配置要求和显著的架构改动成本， adoption 率始终未能达到预期。在这一背景下，Mozilla 于 Firefox 148 中正式引入的 Sanitizer API 与 setHTML () 方法，代表了一种全新的安全范式 —— 将安全防护内置于浏览器默认行为中，使开发者无需额外安全团队即可获得企业级 XSS 防护能力。
从 InnerHTML 到 setHTML：安全范式的根本转变
长期以来，innerHTML 一直是 Web 开发中处理 HTML 注入的默认方式，然而它也是 DOM XSS 漏洞的主要来源。当开发者使用 innerHTML 插入一段包含用户输入的 HTML 字符串时，浏览器会直接解析并执行其中的脚本内容，攻击者只需精心构造 payload 即可实现恶意代码注入。典型的攻击场景包括在用户评论区植入包含 onload 或 onclick 事件处理器的 HTML 标签，一旦其他用户浏览该页面，恶意脚本便会自动执行，造成会话劫持或数据窃取。
Firefox 148 引入的 setHTML () 方法从根本上改变了这一安全格局。与 innerHTML 不同，setHTML () 在将 HTML 片段插入 DOM 之前会强制执行 sanitization 流程，即使用户未显式配置任何清理规则，浏览器也会自动应用内置的安全默认配置。这意味着开发者只需将代码中的 element.innerHTML = untrustedHTML 替换为 element.setHTML(untrustedHTML)，即可获得自动的 XSS 防护，而无需引入额外的第三方清理库或编写复杂的过滤逻辑。
具体而言，setHTML () 的安全机制体现在两个层面：首先，它使用浏览器的 HTML 解析器将输入字符串解析为 DocumentFragment，而非直接操作 DOM 树；其次，在插入 DOM 之前，它会根据 Sanitizer 配置移除所有不安全的元素和属性。根据 WICG Sanitizer API 规范，内置的 “移除不安全内容” 步骤会强制过滤掉所有脚本相关元素（如 script、frame、iframe、embed、object、use）以及所有内联事件处理器属性（如 onclick、onload、onerror 等），即使开发者尝试在自定义配置中显式允许这些危险元素，浏览器仍会执行额外的安全检查并将其移除。
Sanitizer API 的默认配置与自定义能力
Sanitizer API 的设计哲学是在提供安全默认行为的同时保留足够的灵活性。Firefox 148 实现的默认配置遵循 “最小权限” 原则，只允许在当前上下文中有效的安全元素和属性。例如，默认配置会保留常见的排版标签（h1 至 h6、p、span、div 等）、链接（a 标签的 href 属性）、图片（img 标签的 src 和 alt 属性），同时自动过滤掉任何可能执行脚本或加载外部资源的内容。
对于有特殊需求的开发者，setHTML () 提供了可选的 options 参数，允许传入自定义的 SanitizerConfig 对象来精细控制允许或禁止的元素及属性。例如，一个新闻网站可能需要允许特定的样式类名和数据属性，而一个 CMS 系统可能需要保留表格布局相关的元素。开发者可以通过配置对象的 allowElements、allowAttributes、blockElements 等属性实现这些需求。值得注意的是，即使使用自定义配置，setHTML () 仍会额外执行内置的 “移除不安全内容” 步骤，确保即使配置存在疏漏，浏览器也能提供最后一层安全防护。
对于那些确实需要插入原始 HTML 的场景，Sanitizer API 同时提供了 setHTMLUnsafe () 方法作为安全阀。该方法完全尊重传入的 Sanitizer 配置或默认上下文规则，不会强制移除不安全元素。然而，开发者应当清醒地认识到，使用 setHTMLUnsafe () 意味着需要自行承担所有安全风险，仅应在完全可控的管理后台或存在其他安全隔离措施的场景中使用。
与 Trusted Types 的协同防护
Sanitizer API 的另一个重要特性是与 Trusted Types 策略的无缝集成。Trusted Types 是 Web 平台提供的一种强制类型安全机制，要求所有 DOM 操作必须通过受信任的类型对象（如 TrustedHTML、TrustedScriptURL）进行，从根本上消除了字符串形式的 HTML 注入可能性。当网站启用 Trusted Types 策略后，传统的外链脚本执行和 innerHTML 赋值将被浏览器阻止，仅允许通过 setHTML () 配合 Sanitizer 或通过创建 TrustedHTML 对象进行 HTML 注入。
这种分层防御机制为组织提供了灵活的迁移路径。站点可以首先将 innerHTML 替换为 setHTML ()，获得即时的安全提升；随后在逐步启用 Trusted Types 强制模式的过程中，将 setHTML () 与自定义 Sanitizer 策略结合，最终实现完全的类型安全防护。对于已建立安全团队的大型组织，这一过渡过程可以在不破坏现有业务逻辑的前提下平滑完成。
从实际部署角度，建议开发团队采取以下优先级策略：对于所有处理用户生成内容的场景（评论系统、帖子渲染富文本编辑器输出、动态消息展示），立即将 innerHTML 迁移至 setHTML ()；对于管理后台等可控环境，可保留 innerHTML 但启用仅允许 setHTML () 的严格 Trusted Types 策略；对于遗留系统，优先处理高频触达的用户入口点，逐步向安全方案收敛。
工程实践中的监控与回滚考量
虽然 setHTML () 从架构层面消除了大多数 DOM XSS 攻击向量，但工程团队仍需建立配套的监控与回滚机制。首先，应当在应用日志中记录所有 setHTML () 调用失败的情况，包括因配置错误导致的解析异常或安全策略拦截。这些日志对于发现潜在的配置问题和异常攻击尝试至关重要。其次，建议在引入自定义 Sanitizer 配置时进行充分的测试覆盖，确保预期的安全元素不会被意外过滤，同时危险内容确实被有效阻止。Mozilla 官方提供的 Sanitizer API Playground（sanitizer-api.dev）为开发者提供了交互式的测试环境，可用于验证各类 HTML 输入的清理效果。
对于担心向后兼容性的团队，一个可行的渐进式迁移方案是在同一页面中并行运行两套渲染逻辑：新路径使用 setHTML () 处理新增功能或新页面，旧路径保留 innerHTML 用于已有功能，通过特性开关（Feature Flag）控制流量分配。这种方式既能快速验证新方案的安全性，又能在出现问题时迅速回滚至原有实现，将业务风险控制在可接受范围内。
未来浏览器兼容性与行业影响
Firefox 148 作为首个实现 Sanitizer API 的浏览器，标志着 Web 平台安全能力的重要里程碑。根据 Mozilla 开发者社区的表态，Chromium 内核团队也在积极推进该 API 的实现，预计在不久的将来，基于 Chromium 的主流浏览器（Chrome、Edge、Brave）都将提供同等的 XSS 防护能力。这意味着 Web 开发者即将迎来一个无需依赖第三方库即可实现原生安全的时代。
从行业影响来看，Sanitizer API 的普及可能深刻改变 Web 安全工具链的格局。传统的服务端 HTML 清理库（如 DOMPurify、sanitize-html）仍将保留其价值，特别是在需要处理复杂业务逻辑或服务端预渲染的场景中；但对于纯客户端 HTML 注入场景，原生浏览器 API 将成为更优选择 —— 它不仅减少了依赖体积和加载时间，还能利用浏览器内核的安全研究成果，提供比第三方库更及时的安全更新。
总结
Firefox 148 引入的 setHTML () 方法与 Sanitizer API 代表了 Web 安全从 “可选防护” 到 “默认安全” 的范式转变。通过将 XSS 清理能力内置于浏览器引擎，该 API 使每一位开发者都能以最小的代码改动获得企业级的安全防护。与 Trusted Types 的协同支持更为组织提供了清晰的长期安全演进路径。随着更多浏览器厂商的跟进，Web 平台正在迎来一个从根本上更安全的新时代。
资料来源：Mozilla Hacks - Goodbye innerHTML, Hello setHTML: Stronger XSS Protection in Firefox 148；MDN Web Docs - HTML Sanitizer API；WICG Sanitizer API 规范。