简介
metalsmith-htmlescape是一个npm包，是用在静态网站生成（SSG）的工具chain中的一个中间件，用于转义HTML实体字符，避免XSS攻击。
在实际开发中，当我们从后端获取到的一些文本内容需要渲染到页面中时，避免XSS攻击是非常重要的。这时我们就可以使用metalsmith-htmlescape来帮助我们解决这个问题。
安装
我们可以通过npm来安装metalsmith-htmlescape：
npm install metalsmith-htmlescape
使用
使用metalsmith-htmlescape非常简单，只需要在metalsmith的配置文件中添加如下一段代码即可：
var htmlescape = require('metalsmith-htmlescape');
metalsmith.use(htmlescape());这段代码将会把metalsmith的所有文件中的文本内容进行HTML实体字符转义。
示例
下面我们来看一个完整的示例。假设我们有一个文件index.md，内容如下：
# Welcome
Hello, <script>alert('xss')</script> World!为了避免上面的代码造成XSS攻击，我们可以在metalsmith中添加metalsmith-htmlescape中间件来转义它。我们的metalsmith配置文件metalsmith.js可能如下：
-- -------------------- ---- -------
--- ---------- - ----------------------
--- -------- - -------------------------------
--- ---------- - ---------------------------------
---------------------
----------------
------------------
--------------- ----- -
-- ----- -
-----------------
-
---这样，在执行node metalsmith.js后，我们生成的index.html文件将是：
<h1>Welcome</h1> <p>Hello, <script>alert('xss')</script> World!</p>
这就避免了XSS攻击的问题。
总结
metalsmith-htmlescape是一个非常实用的npm包，帮助我们在静态网站生成（SSG）中避免XSS攻击。它的使用非常简单，只需要添加一个中间件即可。我们希望这篇文章能够帮助大家更好地了解并使用metalsmith-htmlescape。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/60066f3f1d8e776d08040be5