作为jQuery方法的扩展，如果字符串可能不包含HTML（例如，如果您试图从表单字段中删除HTML）

jQuery(html).text();

如果没有HTML，将返回空字符串

Use:

jQuery('<p>' + html + '</p>').text();

相反

更新：正如评论中所指出的，在某些情况下，如果攻击者可能影响html的值，则此解决方案将执行html中包含的javascript，请使用不同的解决方案。

另一个公认不如nickf或Shog9优雅的解决方案是从＜body＞标记开始递归遍历DOM并附加每个文本节点。

var bodyContent = document.getElementsByTagName('body')[0];
var result = appendTextNodes(bodyContent);

function appendTextNodes(element) {
    var text = '';

    // Loop through the childNodes of the passed in element
    for (var i = 0, len = element.childNodes.length; i < len; i++) {
        // Get a reference to the current child
        var node = element.childNodes[i];
        // Append the node's value if it's a text node
        if (node.nodeType == 3) {
            text += node.nodeValue;
        }
        // Recurse through the node's children, if there are any
        if (node.childNodes.length > 0) {
            appendTextNodes(node);
        }
    }
    // Return the final result
    return text;
}

正如其他人所建议的，我建议尽可能使用DOMParser。

然而，如果您恰好在Node/JS Lambda内部工作，或者DOMParser不可用，我会使用下面的正则表达式来匹配前面的回答/评论中提到的大多数场景。它与$gt；不匹配；和$lt；正如其他一些人可能担心的那样，但应该捕捉到几乎任何其他场景。

const dangerousText = '?';
const htmlTagRegex = /<\/?([a-zA-Z]\s?)*?([a-zA-Z]+?=\s?".*")*?([\s/]*?)>/gi;
const sanitizedText = dangerousText.replace(htmlTagRegex, '');

这可能很容易简化，但它应该适用于大多数情况。希望这对某人有所帮助。

我想分享一下Shog9批准答案的编辑版本。

正如Mike Samuel在评论中指出的那样，该函数可以执行内联javascript代码。但Shog9说“让浏览器为你做……”是对的

所以…这里是我的编辑版本，使用DOMParser：

function strip(html){
   let doc = new DOMParser().parseFromString(html, 'text/html');
   return doc.body.textContent || "";
}

这里是测试内联javascript的代码：

strip("<img onerror='alert(\"could run arbitrary JS here\")' src=bogus>")

此外，它不会在解析时请求资源（如图像）

strip("Just text <img src='https://assets.rbl.ms/4155638/980x.jpg'>")

const getTextFromHtml = (t) =>
  t
    ?.split('>')
    ?.map((i) => i.split('<')[0])
    .filter((i) => !i.includes('=') && i.trim())
    .join('');

const test = '<p>This <strong>one</strong> <em>time</em>,</p><br /><blockquote>I went to</blockquote><ul><li>band <a href="https://workingclasshistory.com" rel="noopener noreferrer" target="_blank">camp</a>…</li></ul><p>I edited this as a reviewer just to double check</p>'

getTextFromHtml(test)
  // 'This onetime,I went toband camp…I edited this as a reviewer just to double check'

下面的代码允许您保留一些html标记，同时剥离所有其他标记

function strip_tags(input, allowed) {

  allowed = (((allowed || '') + '')
    .toLowerCase()
    .match(/<[a-z][a-z0-9]*>/g) || [])
    .join(''); // making sure the allowed arg is a string containing only tags in lowercase (<a><b><c>)

  var tags = /<\/?([a-z][a-z0-9]*)\b[^>]*>/gi,
      commentsAndPhpTags = /<!--[\s\S]*?-->|<\?(?:php)?[\s\S]*?\?>/gi;

  return input.replace(commentsAndPhpTags, '')
      .replace(tags, function($0, $1) {
          return allowed.indexOf('<' + $1.toLowerCase() + '>') > -1 ? $0 : '';
      });
}