javascript - 如何安全地打印带有 HTML 标签和实体的字符串

Question

我从 MySQL 数据库检索到一个字符串(在存储到数据库之前转义)，存储如下:

例如:

<script>alert(\'hi, im a bad injected script\');</script>

我尝试打印由 jQuery DataTables 增强的表中存储的数据:

var dataString = data;
// data contains the string retrieved from database..

someDataTable.row.add([dataString]).draw();
// add/print the retrieved string to a table row

无论网页执行网页中打印的数据(脚本)。我应该如何防止这种情况。我希望页面打印脚本而不是执行它。

Answer 1

SOLUTION

使用以下代码对 HTML 标签和实体进行编码:

dataString = $('<div/>').text(data).html();

DEMO

参见this jsFiddle用于代码和演示。