使用 jQuery 转义 HTML

发布于 2024-11-07 17:30:22 字数 300 浏览 2 评论 0原文

我想出了一个使用 jQuery 转义 HTML 的方法，我想知道是否有人发现它有问题。

$('<i></i>').text(TEXT_TO_ESCAPE).html();

标签只是一个虚拟标签，因为 jQuery 需要一个容器来设置文本。

也许有更简单的方法来做到这一点吗？请注意，我需要将文本存储在变量中，而不是用于显示（否则我可以调用 elem.text(TEXT_TO_ESCAPE);）。

谢谢！

原文

I came up with a hack to escape HTML using jQuery and I'm wondering if anyone sees a problem with it.

$('<i></i>').text(TEXT_TO_ESCAPE).html();

The <i> tag is just a dummy as jQuery needs a container to set the text of.

Is there perhaps an easier way to do this? Note that I need the text stored in a variable, not for display (otherwise I could just call elem.text(TEXT_TO_ESCAPE);).

Thanks!

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

挽清梦 2024-11-14 17:30:22

这是一种非常标准的方法，但我的版本使用了

：

return $('<div/>').text(t).html();

正如 Mike Samuel 指出的那样，这在技术上并不是 100% 安全，但在实践中可能相当安全。

当前的 Prototype.js 是这样做的：

function escapeHTML() {
    return this.replace(/&/g,'&').replace(/</g,'<').replace(/>/g,'>');
}

但它曾经使用“将文本放入 div 并提取 HTML”技巧。

Underscore 中还有 _.escape ，它的作用是这样的：

// List of HTML entities for escaping.
var htmlEscapes = {
  '&': '&',
  '<': '<',
  '>': '>',
  '"': '"',
  "'": ''',
  '/': '/'
};

// Regex containing the keys listed immediately above.
var htmlEscaper = /[&<>"'\/]/g;

// Escape a string for HTML interpolation.
_.escape = function(string) {
  return ('' + string).replace(htmlEscaper, function(match) {
    return htmlEscapes[match];
  });
};

差不多了与 Prototype 的方法相同。我最近编写的大多数 JavaScript 都可以使用 Underscore，所以这些天我倾向于使用 _.escape。

That's a pretty standard way of doing it, my version used a <div> though:

return $('<div/>').text(t).html();

This isn't technically 100% safe though as Mike Samuel notes but it is probably pretty safe in practice.

The current Prototype.js does this:

function escapeHTML() {
    return this.replace(/&/g,'&').replace(/</g,'<').replace(/>/g,'>');
}

But it used to use the "put text in a div and extract the HTML" trick.

There's also _.escape in Underscore, that does it like this:

// List of HTML entities for escaping.
var htmlEscapes = {
  '&': '&',
  '<': '<',
  '>': '>',
  '"': '"',
  "'": ''',
  '/': '/'
};

// Regex containing the keys listed immediately above.
var htmlEscaper = /[&<>"'\/]/g;

// Escape a string for HTML interpolation.
_.escape = function(string) {
  return ('' + string).replace(htmlEscaper, function(match) {
    return htmlEscapes[match];
  });
};

That's pretty much the same approach as Prototype's. Most of the JavaScript I do lately has Underscore available so I tend to use _.escape these days.

回复收藏 0 原文