javascript - 如何让 Jackson 在输出字符串中转义 </script>？

Question

我有一个简单的 Java 对象，我使用 Jackson 将其序列化为 JSON，然后将其放入 <script> 中。我的 JSP 页面中的标记作为初始化 JavaScript 对象的一部分。例如

<script>SomeLib.load(${someObject});</script>

这很好用除非 someObject 的字段之一是包含"</script>" 的字符串, 因为 this issue .也就是说，如果输出如下所示:

<script>SomeLib.load({"someValue":"hacked!</script>"});</script>

然后浏览器(目前已在 Chrome 和 FF 中测试)相信 </script>在 hacked! 之后标记正在关闭脚本标签。这会破坏 JavaScript 并留下 "});</script>对用户可见。

有没有办法让 Jackson 以某种方式摆脱这个值(value)，从而解决这个问题？

Answer 1

Ravis answer是错的。在那里查看我的评论。

更好的方法是转义 </ 中的斜线带有反斜杠，例如:

<%@ taglib prefix="fn" uri="http://java.sun.com/jsp/jstl/functions" %>
...
<script>SomeLib.load(${fn:replace(jsonString, "</", "<\\/")});</script>

注意:需要两个反斜杠，以便第一个反斜杠在 JSP 语法中被转义。

好的部分是，它不需要特殊的解码。

PS:要在 Jackson 方面执行此操作，请参阅 this blog - 它涵盖了转义其他字符，但只需将斜杠添加到列表中即可转义(所有)斜杠字符。