javascript - javascript中的嵌套引号

Question

这里有点菜鸟问题...

我在表行列表上有一个 javascript 函数

<tr onclick="ClosePopup('{ScenarioID}', '{Name}');" />

但是，{Name} 值有时可以包含字符 "'"(单引号)。目前出现错误 Expected: ')' 因为它有效地提前结束了 javascript 函数并破坏了语法。

禁止 {Name} 值中的单引号影响 javascript 的最佳方法是什么？

干杯!

Answer 1

您犯下了不安全的 Web 模板编程的第一个 fatal error - 没有转义呈现到模板中的值的内容。我几乎可以向您保证，如果您采用这种方法，您的 Web 应用程序将容易受到 XSS(跨站点脚本)攻击，并且任何第三方都可以在您的页面中运行自定义 javascript，窃取用户数据并随心所欲地造成破坏。

检查一下。 http://en.wikipedia.org/wiki/Cross-site_scripting

解决方案是对内容进行转义。要在同样位于 html 中的 javascript 中正确地做到这一点，不仅仅是将转义序列放在反斜杠前面。

任何体面的模板引擎都应该为您提供一种方法来转义写入模板的内容。您的数据库值可以保持原样，重要的部分是在输出时转义它。如果您的模板引擎或动态 Web 应用程序框架不允许这样做，请更改为允许的。 :)