javascript - python 的 json.dumps 输出对 javascript 安全吗？

Question

我想知道 python 的 json.dumps 方法的输出是否可以安全地直接渲染到 html/js 脚本中而无需转义。

my_dict = {...}
my_dict_json_str = json.dumps(my_dict)

然后渲染这个

<script>
    var my_dict = {{my_dict_json_str}};
</script>

这是每次都有效还是有一些字符会破坏它？

Answer 1

如果没有适当的转义，

json.dumps 对于 html 使用是不安全的。

>>> json.dumps({"one": "</script>"})
'{"one": "</script>"}'

此行为可能会破坏您的 html。