Как вывести скрипт, если он приходит через api?

Question

[DonTraffic]

На сайте, есть массив, который содержит скрипт
Пример:

let result = ['<script type="text/javascript" charset="utf-8" async src="https://api-maps.yandex.ru/services/constructor/1.0/js/?um=constructor%3Ab9dbd33e61813d68bca6d76725c931772718f365ce9611c21534017f33d013b7&amp;width=709&amp;height=452&amp;lang=ru_RU&amp;scroll=true"></script>']

как мне вывести этот скрип на страницу (vue/nuxt) что бы он работал

Answer 1

[Антон Антон]

const scriptTag = document.createElement('script')
    scriptTag.src = `https://www.google.com/recaptcha/api.js?render=${recaptchaKey}`
    scriptTag.async = true
    scriptTag.defer = true
    scriptTag.addEventListener('load', () => {
      // тут можно добавить обработчик
    })
    document.body.appendChild(scriptTag)

ну а если приходит прям готовый тег, то можно просто document.body.innerHTML += твойтег

Comments

[DonTraffic]

карта, это пример, может быть и просто alert

[Антон Антон]

DonTraffic, у scriptTag.innerHTML тоже есть

[Антон Антон]

Но вообще сама задача мне прям не нравится. Очень большая дырка.

[DonTraffic]

а через vue <div v-html="arr[0]"></div> не сработает?

[Антон Антон]

DonTraffic, скорее всего нет. Вообще я подумал, что ты попробовал такой очевидный вариант, у тебя не получилось и ты написал вопрос

[DonTraffic]

Антон Антон, из за того, что есть какая то уязвимость? Или из за того, что можно поставить, скажем не совсем честный скрипт (майнеры и подобное)

[Антон Антон]

DonTraffic, ну да, можно поставить какой-то скрипт. можно сломать имеющийся js как-нибудь, что вся интерактивность пропадет. можно подвесить браузер пользователя.

[DonTraffic]

Не исключено что ответ правильный, на JS или чистом VUE. Но у меня почему то такое не срабатывает, много экспериментировал, но по итогу лучшее что получилось, это:

Но, сам скрипт не выполняется. Как и простые скрипты, console.log и подобные