在一方面，如果我有<script> var s = 'Hello </script>'; console.log(s); </script> 浏览器，它会提前终止 另一方面，字符串的值可能来自用户（例如，通过先前提交的表单，现在字符串最终作为文字插入到 Hello &lt;/script&gt; 在这种情况下不是所需的行为。在 var s = 'Hello <\/script>'; 这似乎工作正常。接下来是 HTML 事件处理程序中的 JS 代码问题，它也很容易被破坏，例如，<div onClick="alert('Hello ">')"></div> 乍一看似乎有效，但在大多数（或所有？）浏览器中都会破坏。这显然需要完整的 HTML 实体编码。我的问题是：如果您的 JS 代码可以部分在服务器端生成并且可能包含恶意数据，那么正确涵盖上述所有情况（即脚本块中的 JS、事件处理程序中的 JS）的最佳/标准实践是什么？

Answer 1

以下字符可能干扰 HTML 或 Javascript 解析器，应在字符串文字中转义：<、>、"、'、\、 和 &正如

您所发现的，在使用转义字符的脚本块中，串联方法 (') 可能很难阅读。

var s = 'Hello <\/script>';

对于内联HTML 中的 Javascript，您可以使用实体：

<div onClick="alert('Hello ">')">click me</div>

演示： http://jsfiddle.net/ThinkingStiff/67RZH/

有效的方法在

• < - \u003c
• > - \u003e
• " - \u0022
• ' - \u0027
• \ - \u005c
• & - \u0026

演示：http://jsfiddle.net/ThinkingStiff/Vz8n7/

HTML：

<div onClick="alert('Hello \u0022>')">click me</div>

<script>
    var s = 'Hello \u003c/script\u003e';
alert( s );
</script>   

Answer 2

我想说最好的做法是首先避免使用内联 JS。

将 JS 代码放在一个单独的文件中，并将其包含在 src 属性中

<script src="path/to/file.js"></script>

，并使用它从内部设置事件处理程序，而不是将它们放在 HTML 中。

//jquery example
$('div.something').on('click', function(){
    alert('Hello>');
})

Answer 3

（编辑-不知何故没有注意到您已经在问题中提到了斜杠转义...）

好的，所以您知道如何转义斜杠。

在内联事件处理程序中，您不能在文字中使用边界字符，因此请使用另一个：

<div onClick='alert("Hello \"")'>test</div>

但这一切都是为了让您的生活变得困难。只是不要使用内联事件处理程序！或者，如果您绝对必须这样做，则让它们调用其他地方定义的函数。

一般来说，服务器端代码编写 JavaScript 的原因很少。不要从服务器生成脚本 - 将数据传递给预先编写的脚本。

（原文）

您可以使用反斜杠（这不是特殊的转义字符）转义 JS 字符串文字中的任何内容：

var s = 'Hello <\/script>';

这也具有使其不被解释为 html 的积极效果。因此，您可以将“/”全部替换为“\/”，不会产生任何不良影响。

不过，一般来说，我担心您会将用户提交的数据作为字符串文字嵌入到 JavaScript 中。您是否在服务器上生成 javascript 代码？为什么不直接以 JSON 或 HTML“数据”属性或其他方式传递数据呢？

Answer 4

我是这样做的：

function encode(r){
return r.replace(/[\x26\x0A\<>'"]/g,function(r){return"&#"+r.charCodeAt(0)+";"})
}

var myString='Encode HTML entities!\n"Safe" escape <script></'+'script> & other tags!';

test.value=encode(myString);

testing.innerHTML=encode(myString);

/*************
* \x26 is &ersand (it has to be first),
* \x0A is newline,
*************/

<textarea id=test rows="9" cols="55"></textarea>

<div id="testing">www.WHAK.com</div>

Answer 5

大多数人都会使用这个技巧：

var s = 'Hello </scr' + 'ipt>';