java - 如何将动态 html 安全地嵌入到动态 javascript 文件中，以免破坏 javascript

Question

我需要动态构建一个 javascript 文件并在其中嵌入一些 html，以便在运行时，javascript 能够将 html 添加到 DOM。

我有一个可以使用 wicket 进行插值的 javascript.js。它包含:

var html = "${somehtml}"

document.write(html);

目前，如果我用包含单引号的 html 替换 ${somehtml}，显然会破坏 html。

我尝试使用 URLEncoder.encode() 和 javascript unescape() 但这破坏了 javascript。

我想知道我是否可以对 base64 进行编码/解码？或者有其他解决方案吗？

Answer 1

首先用两个反斜杠替换每个反斜杠，然后用一个反斜杠和一个引号替换每个引号。有点像

var newstring = mystring.replace(/\\/g, "\\\\").replace(/"/g, '\\"');