Chrome 138 强制转义 HTML 属性字符，强化 XSS 防御机制

在网络世界里，安全这个东西总是像空气，摸不着但你得天天吸。尤其是浏览器，天天和各种“神秘代码”打交道，稍不留神就栽进去的坑，比如 XSS（跨站脚本攻击）。这回Google在最新的 Chrome 138 中悄摸摸地加了条新规：强制把 HTML 属性里的 < 和 > 给转义，意图很明白，就是多一分保护，少一分漏洞。

有啥变化？把尖括号都“变小”

过去，浏览器对属性值里的 < 和 > 是睁一只眼闭一只眼的，甚至不少开发者还玩文字叠加或恶搞，用尖括号包点 HTML 片段当数据用。比如：

<div data-tip="<b>注意！</b> 这里是加粗文字"></div>

这段代码在老浏览器里虽然“不安全”，但只要不被别的恶意脚本拼着用，表面上啥事没有。

然而，自从 2025 年 6 月，HTML规范就傻不拉几地指明：“属性里的 < 和 > 必须直接转义！” 这就意味着上面代码会变成这样：

<div data-tip="&lt;b&gt;注意！&lt;/b&gt; 这里是加粗文字"></div>

浏览器打印出来的 outerHTML 也露骨地表现出这一变化，不再是直白的尖括号，而是转成了实体。

这种“强制转义”，简单来说，就是在数据里把潜在的“代码”包裹符号转换成了纯文本。效果就是减少了浏览器误把数据当脚本执行的可能，防止了 mutation XSS 攻击，也可以算是给浏览器安全罩加了次升级。

Mutation XSS 是啥玩意儿？

得先科普下，mutation XSS 不像普通的注入那么“爆炸”，它是在DOM操作动态修改内容时埋伏的隐形炸弹。攻击者利用浏览器对 DOM 的解析、渲染和属性赋值时的“弹性”，注入恶意脚本。说到底，就是让你看起来很正常的页面，悄悄动了手脚。

Chrome 138 的这波操作相当于给了 DOM 一个更严格的规则：“你要么就转义，要么别插入危险符”。这下弄得攻击者要动手，更费劲了。

这对我们开发者意味着什么？

说实话，遇到这变化，第一刻肯定有人懵了——为什么我的 demo 以前没问题，现在代码跑不起了？像很多开发者喜欢用 data- 属性存点“大段 HTML”，甚至嵌套标签，这就尴尬了，因为转义后，原本“活”的标签变成了纯文本。

Chrome 转义示例

有趣的是，这变化不仅是安全层面，连 CSS 这种看似离代码逻辑超远的东西都感受到波澜。咱们知道，CSS伪元素（伪类）和属性选择器有时候靠“属性内容”来驱动特效。如果属性的值变了，选中规则也就变了。比如：

div[data-tip*="注意"] {
  color: red;
}

在新标准下，如果 data-tip 里尖括号被转义，那选中是否依旧生效？答案是，这种依赖原文的写法需要重新考量，CSS小伙伴们得调整策略了，不能只盯着标签看，还要盯属性值的“转义状态”。

谈谈 CSS 和 IT 技术与开发的交叉

你知道，CSS 的厄运就是太依赖“字符串”和“内容”了，这种字符串变化一旦上链，整个画面可能翻盘。IT 技术与开发新人常会忽视这一点，觉得转义只是后端事儿。实际这波更新直接来了个“前端示范暴击”。

多半时候，CSS 像大猩猩抓到了香蕉，想翻个盘结果香蕉变成了梨，这对狮子来说可不是小事。开发者们可能要反思，重构自己的代码逻辑，让 CSS 选择器对 HTML 属性的依赖减少点，或者切换到更稳妥的机制，比如数据层脱离 HTML 结构，只用 JS 做状态管理。

CSS 影响

新的开发准则：跟上标准别落伍

科技和标准是个快速轮回的过程。Chrome 138 强制转义 HTML 属性字符，这更像是提醒——别把安全留到最后一刻，代码的完美不只是写给机械看的，还有那些“黑帽子”的窥探视线。

小建议来了：

  • 你那写漂亮演示用的代码，要先跑到 Chrome 138 上测试，看属性转义有没有破坏交互。
  • 如果你用 JS 根据属性值做各种炫酷效果，确保转义的 &lt; 和 &gt; 不会让逻辑挂。
  • 尽量避免用 HTML 片段存字符串，在属性里玩“html包裹”，容易成为安全死穴。
  • CSS 选择器倾向内容匹配时，考虑引入属性过滤时的转义兼容。

毕竟，代码是给人看的，也是给机器解析的，不能光顾着炫技忘了走路要稳。

总结一下带点感慨

Chrome 这回多管齐下，不仅是提升浏览器解析层的安全性，更给整个前端生态投了颗信号弹：前端安全不能再当儿戏，HTML 属性里的细节都要认真对待。别小看尖括号 <> 这两个小家伙，翻车起来比你想象的狠多。

毕竟，其实网页安全大局并非总是需要什么大刀阔斧的“革命”，这种像潜水艇悄悄改装钛合金装甲的行动，就够令黑客呜呼哀哉一阵。

对我个人来说，每次 Chrome 新版出来，总是一阵“哎呀我又得改代码”的怀念和叹息夹杂，这不技术进步嘛，可不管我乐不乐意，代码得跟上时代脚步，才丢不了人。

安全升级