php 中 JavaScript 的转义括号

Question

例如，我有一个包含以下内容的 php 脚本：

<?php
$msg = addslashes("I'm a message. The what happened >:(");
echo "<script>alert($msg); return false;</script>";
?>

但是警报被最后一个“(”破坏了。我该如何解决这个问题？

Answer 1

您应该用引号将 alert 参数括起来：

echo "<script>alert('$msg'); return false;</script>";

您的代码输出到浏览器的内容是：

<script>alert(The what happened >:(); return false;</script>

which is not a valid javascript，加上引号后，它会变成：

<script>alert('The what happened >:('); return false;</script>

which is valid javascript。

Answer 2

您需要将其放入 JavaScript 字符串中，否则它会像这样被解释，这是没有意义的并会导致错误：

<script>alert(The what happened >:(); return false;</script>

注意 alert() 调用中的单引号表示 JavaScript 字符串（双引号）工作也）：

<?php
$msg = "The what happened >:(";
echo "<script>alert('$msg'); return false;</script>";
?>

使用 htmlspecialchars() 转义内部内容以减轻 XSS 也是一个好主意。

Answer 3

其他答案都是正确的，但是如果字符串可以是任意字符串，则仅在字符串周围加上引号是不够的。如果字符串本身包含引号、反斜杠或换行符，则会破坏 JavaScript 字符串文字。如果字符串包含 （或者在某些情况下仅包含 ），则会破坏

虽然您可能不需要它来获取 $msg 的这个特定值，但习惯将您输出到 JS 字符串中的任何文本进行 JS 字符串转义是一个好主意。虽然您可以通过添加反斜杠来手动执行此操作，但通常使用内置 JSON 编码器要容易得多，该编码器适用于数组、对象以及字符串等其他类型。

<script type="text/javascript">
    alert(<?php echo json_encode($msg); ?>);
    return false; // huh? return, in a <script> block??
</script>

Answer 4

alert() 接受一个字符串参数；您必须将传递给它的文本括在引号（单引号或双引号）中，并确保字符串中任何匹配的引号都用反斜杠转义。

在你的情况下，单引号就足够了：

echo "<script>alert('$msg'); return false;</script>";

Answer 5

根据上下文，您也可以这样做：

<?php
    $msg = "The what happened >:(";
?>

<script>alert("<?php echo $msg ?>"); return false;</script>

如果不需要回显 HTML 或 JavaScript 代码，则不要这样做。更容易维护。