关于在Java应用程序中执行javascript后处理的问题

Question

传统上，我们总是在响应中使用 xml，该响应由 Javascript 方法解析以执行后期处理。我想出了一个新的、更简单的实现，它使用 requestAttribute 设置的隐藏输入并在 ajax 回调中执行。

JSP：

<%
    String jsPostProcess = (String)request.getAttribute("jsPostProcess");
    if (jsPostProcess!=null && jsPostProcess.trim().length()>0){        
%>
        <input type="hidden" id="jsPostProcess" name="jsPostProcess" 
            value="<%= jsPostProcess %> "/>
<%  } %>

AJAX回调：

var callback = {
    success: function(response) {
        var div = $(divId);
        if (div){
            div.innerHTML = response.responseText;              
        }
        var jsPostProcess = $('jsPostProcess');
        if (jsPostProcess)
            eval(jsPostProcess.value);
    },
    failure: function(response) {
        alert('Something went wrong!');
    }
}

SERVLET代码：

request.setAttribute("jsPostProcess", jsPostProcess);

它工作得很好，而且无论功能多么简单或复杂，将js后处理添加到几乎任何调用都非常简单。无需自定义js方法进行解析。

好奇是否有人可以识别它的任何潜在问题（例如安全问题？）或对其他替代方案提出任何建议。我们目前在前端使用 Prototype 和 YUI 2。

Answer 1

首先，不需要那些令人不快的 scriptlet 代码：

<c:if test='${not empty jsPostProcess}'>
  <input type='hidden' id='jsPostProcess' name='jsPostProcess' value='${jsPostProcess}'>
</c:if>

下一步是我希望在此之前的某个地方“jsPostProcess”值已被删除，以便它不会破坏标记（例如，如果它包含引号）。

仅仅对这样的值调用 eval() 似乎有点危险，尽管您可能很清楚它会是什么。

最后，我建议作为替代方案，如果“后处理”代码不太大，您可以将其在响应标头中发送回。这样您就不必在页面中添加任何无意义的标记。

哦，最后：您可能希望禁用 。或者，您甚至不必使用输入：您可以使用以下技巧：

<script id='jsPostProcess' type='text/plain'>
  ${jsPostProcess}
</script>

因为“type”属性是“text/plain”，所以浏览器不会尝试执行该代码，并且您可以获得“任何时候您需要的