随着网络安全威胁的不断演进，网页开发规范也在随之升级以应对新兴风险。2025年5月20日，HTML规范迎来了重要更新，决定在属性值中始终对小于号（<）和大于号（>）这两个特殊字符进行转义处理。这一改变的首发版本出现在Chrome 138的Beta版本中，并将于2025年6月24日在Chrome稳定版正式生效，同时Firefox 140及Safari 26 Beta也将同步跟进。本文将详细探讨这一规范变更的背景意义、技术细节和对Web开发者的具体影响，以及如何应对可能带来的兼容性和安全挑战。HTML属性转义的由来与背景属性值中的小于号和大于号在HTML解析中扮演着特殊角色，它们通常用于标记元素的开始和结束。然而，历史上浏览器不会在属性值序列化时自动转义这两个字符，导致一个潜在安全隐患——变异XSS（mutation XSS，简称mXSS）。
变异XSS是一种复杂的跨站脚本攻击形式，攻击者通过绕过现有的转义策略，将恶意代码植入DOM，最终导致浏览器错误解析执行这些代码。身为防范这一漏洞的措施，HTML规范决定从2025年开始对所有属性值中的<和>字符进行统一转义，将它们分别替换为<和>。这一举措旨在减少浏览器在序列化DOM时产生歧义的可能性，提高网页安全性。变化的技术细节及场景影响更新后的行为主要表现在DOM元素的outerHTML和innerHTML属性的访问时。当调用outerHTML时，以往属性值中的<和>会被原样返回，例如一个属性值为"<u>hello</u>"时，浏览器会以<div data-content="<u>hello</u>"></div>的形式输出完整HTML字符串。而规范更新后，同一属性调用outerHTML将返回转义后的版本，如<div data-content="<u>hello</u>"></div>。
这一变化严格限定在将DOM结构转换为其字符串表示的环节，即对元素字符串序列化的影响。值得注意的是，此变更不会影响HTML的解析过程。因而，通过HTML源码或DOM API访问属性值时，解析结果依旧保持不变。例如，两个HTML片段——一个属性值为"<u>hello</u>"，另一个为转义后的"<u>hello</u>"，二者都会被浏览器正确解析，且通过JavaScript访问时均会返回未转义的字符串"<u>hello</u>"。对开发者的实际影响及应对策略浏览器底层从未改变HTML解析逻辑，开发者在编写JavaScript代码时使用常规DOM API（如getAttribute、dataset、attributes等）访问属性值时，不会遭遇任何变化。但问题发生于那些直接操作或依赖innerHTML和outerHTML来获取HTML字符串的代码逻辑中。
举例来说，若开发者习惯于通过正则表达式从元素的outerHTML字符串中提取属性值，则在规范更新后解析出的字符串将是转义后的值，可能导致原先代码逻辑失效，进一步引入功能异常或价格漏洞。鉴于此，推荐开发者避免通过正则表达式解析HTML字符串，尽量使用DOM提供的标准API获取属性内容，这不仅能确保属性值一致，也利于代码的健壮性和安全性。此外，在持续集成和自动化测试环境下，若测试用例中存在基于outerHTML或innerHTML的硬编码字符串比对，因属性值转义导致的测试失败将成为常见现象。开发团队应及时更新测试期望，修改测试用例中的属性值字符串，将所有<和>替换为<和>，以适配新规范，避免测试误判。规范变动带来的安全提升剖析mXSS作为近年来html注入攻击的一个棘手点，其防御难度高，攻击载体多变，给前端安全带来了重大挑战。通过在序列化时强制转义<和>，这一更新减小了浏览器因内存中DOM结构变异而错误执行脚本的概率。
换而言之，攻击者难以利用属性值中的未转义的特殊字符构造恶意脚本，从而提升网页的整体安全保障水平。特别是在现代Web应用大量依赖前端渲染和复杂的客户端逻辑环境下，此更改可以视为提高浏览器原生安全能力的重要里程碑。此外，HTML规范的统一升级也有助于不同浏览器间就序列化行为达成更大一致性，促进Web标准的进一步完善和互通。可能遇到的兼容性问题及应对建议虽然此次改动对安全贡献巨大，但不可避免地对部分现有代码产生影响。除了上述对outerHTML和innerHTML字符串操作的影响，某些基于文本比较的前端静态检查与自动化工具同样需调整适配。针对常见风险，提出以下建议以帮助开发者顺利过渡。
首先，避免直接解析和操作innerHTML与outerHTML字符串，尤其不要通过正则表达式提取属性值。使用标准DOM API方法安全获取和操作属性数据，避免因转义策略改变导致数据误读或乱码。其次，务必针对代码库中与HTML序列化相关的自动化测试用例进行复审与更新。确保测试中的静态期望值全部采用转义后的表示形式，以免由于HTML规范差异引起的不必要测试失败。最后，关注浏览器版本更新动态，年底前各大主流浏览器均将支持此功能，开发者需提前做好兼容性兼顾工作，尤其是在多浏览器支持的复杂项目中。总结随着Web平台演进和安全需求提升，规范层面针对HTML属性中<和>字符转义的调整显得尤为重要。
从根本上降低了因属性值未转义导致的mXSS攻击风险，强化Web应用的数据安全性。与此同时，该更改仅限于HTML序列化过程，对页面渲染和属性解析没有影响，但对依赖HTML字符串操作的现有代码及测试流程提出了改造挑战。借助这一升级，Web开发者能够构建更安全、更稳定的Web应用体验。面对规范变革带来的变化，开发者应密切关注浏览器版本升级，调整操作HTML字符串的逻辑，优先使用标准DOM方法获取内容，并对自动化测试用例做出同步更新。未来随着浏览器生态持续进步，类似的安全优先调整或将更多涌现，保持技术前瞻性与最佳实践将成为赢得竞争优势的关键。
