javascript - 如何修复 Google 美化 HTML 转义序列的处理

Question

google-code-prettify通过“美化”转义字符本身而不是转义序列来处理代码块中的 HTML 转义。例如:

原始 HTML <code class="prettyprint lang-sql"> ... &gt; ... </code>被美化成:

<span class="pun">&amp;</span><span class="pln">gt</span><span class="pun">;</span>

有明显的错误渲染。我无法在 <code> 中返回未转义的 HTML as 不是来自受信任的来源，可以用作 XSS 向量。

我的问题是是否有任何方法可以强制 google-pretty-print 做正确的事情并考虑 <code> 的内容作为 HTML(转义)，而不是原始文本。

Answer 1

My question is if there is is any way to coerce google-pretty-print into doing the right thing and consider the content of <code> as HTML (escaped), not as raw text.

应该，而且确实如此。 C example证明了这一点

#include <stdio.h>

被美化为

<span class="pln">
</span><span class="com">#include</span><span class="pln"> </span><span class="str">&lt;stdio.h&gt;</span><span class="pln">

然后我将您的示例代码粘贴到测试页中并得到了

<span class="pln"> </span><span class="pun">...</span><span class="pln"> </span><span class="pun">&gt;</span><span class="pln"> </span><span class="pun">...</span><span class="pln"> </span>

我认为您的问题可能是其他层的结果。我会研究在浏览器之前看到您的 HTML 的任何内容管理系统、模板或博客发布软件。