HTML-Zeichenfolgen mit jQuery umbrechen

Question

Kennt jemand eine einfache Möglichkeit, HTML aus Strings in jQuery ? Ich muss in der Lage sein, eine beliebige Zeichenfolge zu übergeben und haben es richtig für die Anzeige in einer HTML-Seite (Verhinderung von JavaScript/HTML-Injection-Angriffe) escaped. Ich bin sicher, es ist möglich, jQuery zu erweitern, um dies zu tun, aber ich weiß nicht genug über das Framework im Moment, um dies zu erreichen.

Answer 1

Diese Antwort bietet die jQuery- und die normalen JS-Methoden, aber dies ist die kürzeste Methode ohne Verwendung des DOM:

unescape(escape("It's > 20% less complicated this way."))

Entkommene Zeichenfolge: It%27s%20%3E%2020%25%20less%20complicated%20this%20way.

Wenn Sie die Leerzeichen stören, versuchen Sie es:

unescape(escape("It's > 20% less complicated this way.").replace(/%20/g, " "))

Entkommene Zeichenfolge: It%27s %3E 20%25 less complicated this way.

Leider ist die escape() Funktion war veraltet in JavaScript Version 1.5 . encodeURI() o encodeURIComponent() sind Alternativen, aber sie ignorieren ' so dass die letzte Zeile des Codes wie folgt aussehen würde:

decodeURI(encodeURI("It's > 20% less complicated this way.").replace(/%20/g, " ").replace("'", '%27'))

Alle wichtigen Browser unterstützen immer noch den Kurzcode, und angesichts der vielen alten Websites wird sich das wohl auch nicht so bald ändern.

Answer 2

Wenn Sie diese Informationen in einem Datenbank ist es falsch, HTML mit einer Client-seitig Skript zu erstellen, sollte dies in der Server . Andernfalls ist es leicht, den XSS-Schutz zu umgehen.

Um meinen Standpunkt zu verdeutlichen, hier ein Beispiel mit einer der Antworten:

Nehmen wir an, Sie verwenden die Funktion escapeHtml, um das Html eines Kommentars in Ihrem Blog zu entschlüsseln und ihn dann auf Ihrem Server zu veröffentlichen.

var entityMap = {
    "&": "&",
    "<": "&lt;",
    ">": "&gt;",
    '"': '&quot;',
    "'": '&#39;',
    "/": '&#x2F;'
  };

  function escapeHtml(string) {
    return String(string).replace(/[&<>"'\/]/g, function (s) {
      return entityMap[s];
    });
  }

Der Benutzer könnte:

• Bearbeiten Sie die POST-Anforderungsparameter und ersetzen Sie den Kommentar durch Javascript-Code.
• Überschreiben Sie die Funktion escapeHtml über die Browserkonsole.

Wenn der Benutzer dieses Snippet in die Konsole einfügt, umgeht er die XSS-Validierung:

function escapeHtml(string){
   return string
}