社区首页 >专栏 >如何使用 Vue.js 中的自定义指令编写一个URL清洗器

如何使用 Vue.js 中的自定义指令编写一个URL清洗器

前端达人

发布于 2023-09-11 13:00:00

36700

代码可运行

文章被收录于专栏：前端达人前端达人

运行总次数：0

代码可运行

学习制作自定义指令：构建安全的URL清理指令

开篇

Vue.js配备了一套默认指令，对于常见的使用情况非常重要。这些默认指令包括v-for、v-html和v-text。此外，Vue.js还赋予我们注册定制指令以满足特定需求的能力。

自定义指令通常包括生命周期钩子，并且可以在“mounted”、“updated”和“beforeUnmount”等阶段进行操作。这些钩子接收应用指令的元素及其关联值，使它们能够对输入执行特定的操作。

此外，还可以根据特定的生命周期钩子（如'onUpdated'或'beforeUnmount'）有选择地触发函数

复习下如何自定义注册指令

指令可以通过三种不同的方式进行注册。它们可以在脚本设置（setup 函数）内部或设置函数（setup函数）之外进行注册，也可以在应用程序初始化期间进行全局注册。

1、函数内部注册

在Vue.js中，以camelCase声明并以‘v’为前缀的变量会自动被识别为指令。在上面的示例中，我们定义了 v-text-color 指令，它接受绑定的元素并根据提供的值设置文本颜色。

<script setup>
import { ref } from 'vue'

const msg = ref('Hello World!')

const vTextColor = {
  mounted: (el,binding) => el.style.color = binding.value
}
</script>

<template>
  <h1 v-text-color="`green`">{{ msg }}</h1>
  <input v-model="msg">
</template>

2、函数外部注册

我们还可以使用 directives API选项在setup函数之外注册指令。下面的代码片段演示了如何实现这一点。


export default {
  setup() {
    /*...*/
  },
  directives: {
    // enables v-textcolor in template
    textcolor: {
      /* ... */
    }
  }
}

3、全局注册

对于您打算在整个应用程序中经常重复使用的指令，建议将其全局注册，如下所示：

const app = createApp({})

// make v-textcolor usable in all components
app.directive('textcolor', {
  /* ... */
})

创建我们的自定义URL清理指令

既然我们已经探索了在Vue.js中注册自定义指令的不同方法，那么让我们继续创建一个安全地清理提供的URL的指令。为了避免重复造轮子并确保URL解析的稳健性，我们将利用 @braintree/sanitize-url 包。该包经过了广泛的测试，在开发者中得到了广泛的采用，并且正在积极维护。

本质上，该指令的目的是获取绑定的元素的值，即一个URL，并对其进行清理，确保其安全性。根据您偏好的软件包管理器，您可以安装'@braintree/sanitize-url'。在本示例中，我们将使用npm。

npm install -S @braintree/sanitize-url

Unsafe URL

这是一个我们旨在清理的不安全URL的示例。

http://example.com/login?redirect=http://malicious-site.com/attack?payload=<script>alert('XSS Attack');</script>

在这个例子中：

该URL似乎是一个登录页面（http://example.com/login），带有一个重定向的查询参数。
重定向参数指向一个潜在的恶意网站（http://malicious-site.com/attack），并包含一个可能执行跨站脚本攻击（XSS）的有效负载（）。

我们自定义的URL清洗器

<script setup>
import { ref } from 'vue'
import { sanitizeUrl } from '@braintree/sanitize-url'

const  msg = ref('Hello World!')
const url = ref('http://example.com/login?redirect=http://malicious-site.com/attack?payload=<script>alert('XSS Attack');</script>
')

const vSafeUrl = {
  mounted:(el,binding)=> {
    el.setAttribute('href', sanitizeUrl(binding.value))
    }
}
</script>

<template>
  <h1>{{ msg }}</h1>
  <a v-safe-url="`url`">Safe url</a>
</template>