Nuxt 3 已于 31 July 2026 结束生命周期
此版本将不再接收错误修复或安全补丁。 升级到 Nuxt 4 或获取 HeroDevs 提供的延长支持

useHeadSafe

源码
使用用户输入提供头部数据的推荐方式。

Maschinelle Übersetzung ·0 % geprüft

用法

useHeadSafe 组合函数是 useHead 组合函数的包装器，它会限制输入，只允许安全值。这是处理用户输入时管理头部数据的推荐方式，因为它会清理潜在危险的属性，从而防止 XSS 攻击。

使用 useHeadSafe 时，诸如脚本中的 innerHTML 或 meta 标签中的 http-equiv 之类的潜在危险属性会被自动剥离，以防止 XSS 攻击。只要处理用户生成的内容，就应该使用此组合函数。

类型

Signatur
export function useHeadSafe (input: MaybeComputedRef<HeadSafe>): void

允许的属性

以下属性被列入各头部元素类型的白名单：

const WhitelistAttributes = {
  htmlAttrs: ['class', 'style', 'lang', 'dir'],
  bodyAttrs: ['class', 'style'],
  meta: ['name', 'property', 'charset', 'content', 'media'],
  noscript: ['textContent'],
  style: ['media', 'textContent', 'nonce', 'title', 'blocking'],
  script: ['type', 'textContent', 'nonce', 'blocking'],
  link: ['color', 'crossorigin', 'fetchpriority', 'href', 'hreflang', 'imagesrcset', 'imagesizes', 'integrity', 'media', 'referrerpolicy', 'rel', 'sizes', 'type'],
}

详见 @unhead/vue 获取更详细的类型定义。

参数

input：包含头部数据的 MaybeComputedRef<HeadSafe> 对象。你可以传入与 useHead 相同的所有值，但只会渲染安全属性。

返回值

此组合函数不返回任何值。

示例

pages/user-profile.vue
<script setup lang="ts">
// 可能包含恶意代码的用户生成内容
const userBio = ref('<script>alert("xss")<' + '/script>')

useHeadSafe({
  title: `用户资料`,
  meta: [
    {
      name: 'description',
      content: userBio.value, // 已安全消毒
    },
  ],
})
</script>
阅读更多 Unhead 文档内容。