现在，所有主要的浏览器都支持沙盒iframe，我认为可以采用一种更为简单的方法来确保安全。如果这个答案可以由更熟悉这种安全性问题的人来审查，我会很喜欢。
注意：此方法在IE 9及更早版本中肯定无法使用。请参阅此表的浏览器版本的支持沙盒。（注意：该表似乎说它在Opera Mini中不起作用，但我只是尝试了一下，就可以了。）
这个想法是创建一个禁用JavaScript的隐藏iframe，将您不受信任的HTML粘贴到其中，然后对其进行解析。然后，您可以遍历DOM树并复制出认为安全的标签和属性。
此处显示的白名单仅是示例。最佳加入白名单取决于应用程序。如果您需要的不仅是标记和属性白名单，还需要更复杂的策略，则此方法可以容纳该方法，但本示例代码不能。
var tagWhitelist_ = {
'A': true,
'B': true,
'BODY': true,
'BR': true,
'DIV': true,
'EM': true,
'HR': true,
'I': true,
'IMG': true,
'P': true,
'SPAN': true,
'STRONG': true
};
var attributeWhitelist_ = {
'href': true,
'src': true
};
function sanitizeHtml(input) {
var iframe = document.createElement('iframe');
if (iframe['sandbox'] === undefined) {
alert('Your browser does not support sandboxed iframes. Please upgrade to a modern browser.');
return '';
}
iframe['sandbox'] = 'allow-same-origin';
iframe.style.display = 'none';
document.body.appendChild(iframe);
iframe.contentDocument.body.innerHTML = input;
function makeSanitizedCopy(node) {
if (node.nodeType == Node.TEXT_NODE) {
var newNode = node.cloneNode(true);
} else if (node.nodeType == Node.ELEMENT_NODE && tagWhitelist_[node.tagName]) {
newNode = iframe.contentDocument.createElement(node.tagName);
for (var i = 0; i < node.attributes.length; i++) {
var attr = node.attributes[i];
if (attributeWhitelist_[attr.name]) {
newNode.setAttribute(attr.name, attr.value);
}
}
for (i = 0; i < node.childNodes.length; i++) {
var subCopy = makeSanitizedCopy(node.childNodes[i]);
newNode.appendChild(subCopy, false);
}
} else {
newNode = document.createDocumentFragment();
}
return newNode;
};
var resultElement = makeSanitizedCopy(iframe.contentDocument.body);
document.body.removeChild(iframe);
return resultElement.innerHTML;
};
您可以在这里尝试。
请注意，在此示例中，我不允许样式属性和标签。如果允许它们，则可能需要解析CSS并确保它对您的目的是安全的。
我已经在几种现代浏览器（Chrome 40，Firefox 36 Beta，IE 11，Android版Chrome）和一个旧浏览器（IE 8）上对此进行了测试，以确保在执行任何脚本之前先保释。我想知道是否有浏览器遇到问题，或者我忽略了一些极端情况。