alert(userInput) 本身不触发 XSS，但若 userInput 来自不可信源（如 URL、API、localStorage）且未经校验，后续若被插入 innerHTML 等 DOM 操作，则构成 XSS 链路；安全做法是仅用 alert 展示纯字符串，DOM 插入必须用 textContent 或转义。
直接用 alert() 弹用户输入的内容，就是脚本注入的快捷入口——它不解析 HTML，但如果你把未处理的字符串拼进 alert() 参数里，问题不在 alert 本身，而在你如何拿到并传入那个字符串。
为什么 alert(userInput) 会触发 XSS？
它本身不会。但常见错误是：把从 URL、API 或表单读取的原始字符串，未经校验就塞进 alert() 的参数中，而这个字符串可能来自 location.search、localStorage 或后端返回的 JSON 字段。一旦攻击者控制了该值（比如 ?msg=%3Cimg%20src%3Dx%20onerror%3Dalert(1)%3E），再用 decodeURIComponent() 解码后直接传给 alert()，虽然弹窗内容只是文本，但若你后续又把它插入 DOM（比如写进 innerHTML），链路就成立了。
更危险的是：有人误以为“只用 alert() 就安全”，结果在 alert() 后紧接着执行 el.innerHTML = userInput，等于白做了第一道隔离。
纯前端场景下，怎么安全地显示用户输入到 alert？
alert() 只接受字符串，不执行代码，所以只要你不把它当 DOM 插入点用，单纯弹窗展示是安全的。但前提是：你传进去的必须是“纯字符串”，不能是已解析的 HTML 片段或含 JS 转义序列的值。
立即学习“前端免费学习笔记（深入）”；
生成可在 deepbi 沙箱 iframe 内运行或作为独立文件运行的交互式 HTML 页面，使用 `window.deepbi` JS SDK 实现数据查询、空间管理、文件浏览及用户操作。当用户提出以下需求时启用该能力： - 创建 KPI 仪表盘、数据表格、文件浏览器、成员列表、管理页面； - 明确要求“转成 dhtml”、“转译成 HTML”、“把 XX 页面转成……”、“控制台页面”、“管理后台”、“DeepBI 页面迁移”； - 提及位于 `apps/console/src/featur
- 避免从
document.getElementById('x').innerHTML直接取值——它可能含标签 - 避免用
JSON.parse()后直接取字段再传给alert()，除非你确认该字段在服务端已做过html.escape()或等效处理 - 如果值来自 URL 参数，先用
URLSearchParams提取，再用decodeURIComponent()，**不要**再用DOMPurify.sanitize()或正则去“清理”——alert 不需要 HTML 净化，只需要确保它是字符串字面量 - 真正要防的是：把
alert()当作渲染第一步，后续又把它当 HTML 源使用
更常见的实际风险：alert + innerHTML 组合链
很多漏洞不是出在 alert()，而是出在“弹完就插”的惯性操作。例如搜索页高亮关键词：const kw = new URLSearchParams(location.search).get('q');，然后既 alert(kw) 又 el.innerHTML = '您搜索了：' + kw——后者才是高危点。
实操建议：
- 拆开处理：
alert()用原始值（前提是来源可信且仅用于提示）；innerHTML则必须走escapeHtml(kw)或textContent - 统一用
textContent替代所有非富文本的 DOM 插入，包括标题、提示文字、列表项——比手动转义更可靠 - 如果必须保留格式（如加粗关键词），改用
createElement('strong')+textContent拼接，而不是拼 HTML 字符串 - 永远不要写
el.innerHTML = '<span>搜索关键词：' + kw + '</span>'——这是最典型的漏掉转义位置
服务端配合才是关键防线
前端 alert() 和 textContent 只能防住“展示层”，但攻击者真正想突破的是数据流起点。比如一个 API 返回 {"message": "<script>alert(1)</script>hello"}，前端无论怎么处理 alert()，只要某处用了 innerHTML 渲染 message，就破防。
所以后端必须在输出前做两件事：
- 对纯文本字段（如用户名、评论内容）用
html.escape()（Python）、htmlspecialchars()（PHP）、StringEscapeUtils.escapeHtml4()（Java）等函数编码 - 对富文本字段，返回前过一遍
DOMPurify.sanitize()（前端）或bleach.clean()（后端），且策略必须显式声明允许的标签和属性，不能依赖默认 - 绝对不要在模板里用
{{ user_input|safe }}或，除非该变量已在上层被净化过
最容易被忽略的一点：JSON 接口返回的字符串，如果已在服务端 HTML 编码过（比如 <script></script>），前端就不能再用 innerHTML 直接插——否则浏览器会二次解码，变成可执行标签。此时应改用 textContent，或让后端返回原始字符串、由前端按需转义。
