Recientemente aprendí que el navegador activará el evento de toggle del elemento de details simplemente configurando los contenidos en un elemento, incluso cuando no está en el DOM. Lo siguiente ejecuta una alerta:

 document.createElement('p').innerHTML = "<details open ontoggle=\"alert('BAD')\">"

Lo mismo funciona para las imágenes y su evento de onload .

Compare esto con el uso de una etiqueta de secuencia de script . Lo siguiente no hace nada:

 document.createElement('p').innerHTML = "<script>alert('FINE')</script>"

Probado en Chrome y Firefox.

¿Hay alguna manera de suprimir la ejecución de controladores de eventos en línea como este? Idealmente, algo que se pueda establecer en el elemento principal.

Consideré agregar un controlador de eventos en el padre, ¡pero el evento de alternar no burbujea!

Una solución obvia es desinfectar la fuente html, pero estoy buscando algo más elegante y a prueba de balas que la manipulación de cadenas.