在使用过程中，请务必确保输入的内容已正确转义，以防止XSS(跨站脚本攻击)的发生。通常情况下，XSS攻击都是因为用户输入未经验证或未进行转义就直接插入到DOM中导致的。以下是一些防御XSS攻击的方法：
```javascript
/**
* 使用该函数可将HTML标签中的'<'和'>'符号转义为对应的实体字符
*/
function escapeHtml(html) {
return html.replace(/</g, '<').replace(/>/g, '>');
}
// 示例代码
const htmlContent = '
const escapedHtml = escapeHtml(htmlContent);
return (
);
```
这段代码是用于清理HTML内容的，以防止潜在的安全风险。它首先定义了允许的HTML标签和属性，然后通过一个名为`sanitizeHtml`的函数来清理输入的HTML内容。这个函数首先使用DOMParser将输入的HTML字符串解析为一个文档对象，然后遍历文档中的所有元素。对于每个元素，如果它的标签名不在允许的标签列表中，就将其从文档中移除。如果元素的标签名在允许的标签列表中，那么就遍历该元素的所有属性，如果属性名不在允许的属性列表中，就将该属性从元素中移除。最后，函数返回清理后的HTML内容。
以下是重构后的代码：
```javascript
const allowedTags = ['p', 'strong', 'em'];
const allowedAttributes = ['class', 'style'];
function sanitizeHtml(html) {
const doc = new DOMParser().parseFromString(html, 'text/html');
const elements = doc.body.getElementsByTagName('*');
for (let i = 0; i < elements.length; i++) {
const el = elements[i];
if (!allowedTags.includes(el.tagName.toLowerCase())) {
el.parentNode.removeChild(el);
} else {
for (let j = 0; j < el.attributes.length; j++) {
const attr = el.attributes[j];
if (!allowedAttributes.includes(attr.name.toLowerCase())) {
el.removeAttribute(attr.name);
}
}
}
}
return doc.body.innerHTML;
}
const htmlContent = '
const sanitizedHtml = sanitizeHtml(htmlContent);
return
```
