为什么在字符串中使用JavaScript转义字符需要是\\'而不是 \'

Question

我只是在 asp.net 上的代码后面使用 javascript 时遇到问题，经过几个小时的弄清楚，原来是转义字符的问题。

一开始我用这个。

ScriptManager.RegisterStartupScript(this, this.GetType(), "temp", "alert('Can't delete this data because it is bound with rate plan');", true);

这会导致javascript错误，因为“can't”处的引号需要使用转义字符，所以我使用。

ScriptManager.RegisterStartupScript(this, this.GetType(), "temp", "alert('Can\'t delete this data because it is bound with rate plan');", true);

但它仍然不起作用。

最后我用了

ScriptManager.RegisterStartupScript(this, this.GetType(), "temp", "alert('Can\\'t delete this data because it is bound with rate plan');", true);

，效果很好。

我只是好奇为什么我们需要使用 \\' 而不是 \' 以使转义字符正常工作。

Answer 1

\ 是 C# 中的转义字符 和 JavaScript 中的 。

当您给 C# "\'" 时，会创建一个包含撇号的字符串。

当您给出 C# "\\'" 时，第一个 \ 会转义第二个 \ （因此第二个 \不被视为转义字符），并且 ' 被视为普通 ' （因为该字符串不是用 ' 分隔的。

Answer 2

在 ac# 字符串中，\ 需要转义，因为它是 \n 等内容的特殊前缀。您可能会发现逐字使用更容易strig 文字，不需要转义（" 到 "" 除外）。

例如：

@"... can\'t ..."

注意前导 @ 在字符串文字之前，表示替代转义规则的使用，这也允许直接在字符串中使用换行符等，即。

@"foo
bar
blip"

Answer 3

因为“\”也是 C# 的转义字符。

我更喜欢在字符串的开头（就在字符串开始之前）使用 @ 特殊运算符，因为它告诉 C# 它不能处理转义字符。

例如：

ScriptManager.RegisterStartupScript(this, this.GetType(), "temp", @"alert('Can\'t delete this data because it is bound with rate plan');", true);

无论如何，我找不到单引号的意义。您可以通过使用双引号字符串表示法来避免转义这个单引号：

ScriptManager.RegisterStartupScript(this, this.GetType(), "temp", "alert(\"Can't delete this data because it is bound with rate plan\");", true);

如果我不记得有很多 PHP 编码人员贡献了脚本，我就不明白 JavaScript 中单引号的滥用，因为这种语言的行为方式是根据单引号或双引号字符串的不同方式。

无论如何，您可以检查有关 JavaScript 中单引号和双引号的其他问题：

• 何时在 JavaScript 中使用双引号或单引号？

Answer 4

当您使用 \\ 时，它会在实际的 javascript 中转义为 \ ，从而转义该字符。你本质上是在逃避两次

Answer 5

名称中的单引号和撇号（例如 O'Brian）通常会在动态客户端脚本中引起麻烦，因为它们会破坏它们并允许插入恶意代码（也称为脚本攻击）。

我为代码隐藏编写了以下C#6扩展方法来解决这个问题：

public static class Extension
{
    public static string ToSQEscapedStringJS<T>(this T unescapedStr)
    {
        if (unescapedStr == null || unescapedStr.ToString() == "")
        {
            return "''";
        }
        // replace ' by @@@
        var escapedStr = (unescapedStr).ToString().Replace("'", "@@@"); 
        // JS code to replace @@@ by '
        string unEscapeSQuote = "replace(/@{3}/g, String.fromCharCode(0x27))"; 
        // add @@@ escaped string with conversion back to '
        return $"('{escapedStr}'.{unEscapeSQuote})"; 
    }
}

它的用法很简单。请考虑以下动态脚本示例：

// contains apostroph (aka single quote) and is dangerous for your script block
var name = "O'Brian"; 
var nameEscp = name.ToSQEscapedStringJS(); // creates JS expression from it
// building up the script
string strScript = 
   $"<script>window.opener.document.forms(0).{control.Value}.value = {nameEscp};</script>";
ClientScript.RegisterClientScriptBlock(this.GetType(), "anything", strScript);

注意，nameEscp 已被单引号括起来，因此您可以安全地将其放在 = 之后。

诀窍在于，字符串会被转义，并且在赋值时立即立即转义（通过执行 JavaScript 表达式），即，

.value = ('O@@@Brian'.replace(/@{3}/g, String.fromCharCode(0x27));

将作为插入的赋值表达式将作为脚本发送到客户端。执行后，.value 包含 O'Brian。