超级管理员
楼主
近期 Vue i18n 连发 v11.4.18 和 v11.4.17，核心是修一个危险动作：翻译文本里如果含 script 元素，在 SSR 下用 v-html 渲染时会执行。
为什么危险 国际化场景里，翻译内容往往来自外部或协作编辑，一旦有人往翻译里塞脚本标签，服务端渲染时就可能执行恶意代码。v11.4.18 做了 sanitize，中和掉这类脚本标签。
连带改进 v11.4.17 让 install 方法同步抛出错误，避免半安装状态；改进了 legacy API 对翻译警告的抑制。两个版本都增强了 SVG 元素与 URL 的清洗。
给开发者的提醒 凡是拿外部内容喂 v-html 的地方，都要当 XSS 对待。别假设翻译是可信的，该转义转义、该白名单白名单。依赖库修了不代表你可以裸奔。
本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。
