react-html 3.2 来了：你渲染 HTML 的方式该换换了

你有没有在 React 里写过 dangerouslySetInnerHTML？每次写完心里都咯噔一下。react-html 3.2 刚更新到 jkosoy 的 GitHub Pages 上，版本号往上跳了两级，说明改动不小。这个库的核心诉求一直很简单——让 React 组件安全地吃下 HTML 字符串，别让你的用户数据变成 XSS 漏洞。3.2 这个版本大概率收紧了白名单机制或者改动了转义策略，毕竟安全类库迭代到这个量级，多半是堵旧版漏网的口子。我的判断是：如果你的项目里还在裸用 innerHTML，不管 3.2 还是 3.1，这个库都值得看一眼。React 生态里"把 HTML 安全塞进组件"这件事，做到干净利落的其实不多。

原文：react-html-3.2 · 来源：Hacker News