anchor.diff:    the server. Do not generate Angular templates on the server side using a templating language, this
     carries a high risk of introducing template injection vulnerabilities.
   
  -  服务器端构造的HTML很容易受到注入攻击。当需要在服务器端生成HTML时（比如Angular应用的起始页面），
  -  务必使用一个能够自动进行无害化处理以防范XSS漏洞的模板语言。不要在服务器端使用模板语言生成Angular模板，
  +  服务器端构造的HTML很容易受到注入攻击。当需要在服务器端生成HTML时（比如Angular应用的初始页面），
  +  务必使用一个能够自动进行无害化处理以防范XSS漏洞的后端模板语言。不要在服务器端使用模板语言生成Angular模板，
     这样会带来很高的“模板注入”风险。
   
   .l-main-section
  
positive.code: 
    * HTML is used when interpreting a value as HTML, e.g. when binding to `innerHtml`
  
    * HTML：当一个值将被解释为HTML时使用，比如当绑定到`innerHTML`时。
  
    * Style is used when binding CSS into the `style` property
  
    * 样式：当把CSS绑定到`style`属性时使用。
  
    * URL is used for URL properties such as `<a href>`
  
    * URL：当被用作URL属性时使用，比如`<a href>`。
  
    * Resource URLs are URLs that will be loaded and executed as code, e.g. in `<script src>`
  
    * 资源URL：当被当做代码而加载并执行时使用，比如`<script src>`中的URL。
  
    Angular sanitizes untrusted values for the first three items; sanitizing resource URLs is not
    possible as they contain arbitrary code. In development mode, Angular prints a console warning
  
negative.code:   well-known string `")]}',\n"`.
  
    只有在返回的JSON能像JavaScript一样可以被执行时，这种攻击才会生效。所以服务端会约定给所有JSON响应体加上前缀`")]}',\n"`，来把它们标记为不可执行的，
    以防范这种攻击，
  
    Angular's `Http` library recognizes this convention and automatically strips the string
    `")]}',\n"` from all responses before further parsing.
  