JavaScript 函数参数中的单引号转义

Posted 2023-03-24

【中文标题】JavaScript 函数参数中的单引号转义

【英文标题】：Single quote escape in JavaScript function parameters

【发布时间】：2012-01-05 14:41:06

【问题描述】：

我需要在 javascript 函数参数中转义单引号以避免这种情况：

onclick="Javascript:INSERT_PRODUCT('188267','WILL AND GRACE','32311','L'ANNIVERSARIO DINOZZE ','20101113|04|18|','13/11/2010 0.00.00','CANALE 5  ',this);"

但我需要在函数调用中转义它们，因为我不知道将传递的值（我无法从数据库中转义的 db 变量）。

是否有允许我执行以下操作的功能？

onclick="Javascript:function(escape(param1), escape(param2), escape(param3));"

【问题讨论】：

' = \' （就像普通字符串一样）。而且因为您将它插入到标记中，所以 you 需要对其进行转义，或者如果服务器端语言正在生成它，请确保 it 对其进行转义。

你可以把你的参数放在escape(param)

那里不需要标签Javascript:。您应该使用其他方式绑定事件处理程序：quirksmode.org/js/introevents.html，然后您不必担心引号。

@EmmanuelN: escape url 转义它，而不是翻译引号。

查看 HTML 属性转义：***.com/questions/4015345/…

【参考方案1】：

 JSON.stringify(plainTextStr).replace(/&/, "&").replace(/"/g, """)

将生成一个字符串，您可以安全地将其嵌入到带引号的属性中，并且在被 JavaScript 解释器看到时具有相同的含义。

唯一需要注意的是，一些 Unicode 换行符（U+2028 和 U+2029）need to be escaped 在嵌入到 JavaScript 字符串文字之前，但 JSON 只要求 \r 和 \n 被转义。

【参考方案2】：

用反斜杠转义撇号：

onclick="INSERT_PRODUCT('188267','WILL AND GRACE ','32311','L\'ANNIVERSARIO DI NOZZE ','20101113|04|18|','13/11/2010 0.00.00','CANALE 5 ',this);"

【讨论】：

请删除Javascript:。放在那里没有错，但也没有用，经验不足的开发人员可能会认为它是必要的。

我需要一个函数来在 myfunction 调用中执行转义，因为这是我唯一可以访问的地方。有什么建议吗？

如果字符串包含", , '\' 将失败或任何其他编码单引号或双引号或反斜杠的实体。例如，字符串'foo " onmouseover=alert(1) 不包含单引号，但当嵌入到 HTML 属性中时，会利用 XSS 漏洞。同样，'foo \ 将失败，因为 JavaScript 解析器将看到 `, not \` 所以右引号将被解释为字符串的一部分，因此如果下一个字符串值为 `alert(1)) // ` ，那么这将被视为文字 JavaScript，也会导致任意脚本执行。

【参考方案3】：

问题可能并不完全清楚，但假设您只想将其发送到 php 脚本以存储在数据库中，那么您当然会理想地利用 PHP 的各种方法，例如 stripslashes() - 但如果您真的不想太花哨，只需在任何单引号前添加 1 个斜杠就足以从客户端将 SQL 查询直接发送到 PHP。这不安全，但也可能没有必要。

str.replace(/'/g, "\\'"); // escaping \ with \, so used 2x

成功了。例如在这样的事情中：

var body = $('#body').val().replace(/'/g, "\\'");
myCustomSQLqueryFunction("UPDATE mytable SET `content`='"+ body +"';" );

mysql 现在将存储您的 body，就像您在表单字段中看到的一样。

【讨论】：

我在测试这个并注意到 MySQL 只是删除了像 ` 这样的花哨的单引号，所以你也必须转义这些。

【参考方案4】：

这个功能对我有用（它会再次删除并恢复报价）： 猜测要发送的数据是输入元素的值，

var Url = encodeURIComponent($('#userInput').val().replace("'","\\'"));

然后再次获取原文：

var originalText = decodeURIComponent(Url);

【参考方案5】：

var cmpdetail = cmpdetail.replace(/'/g, "\\'");

它对我有用。

【参考方案6】：

我更喜欢使用单引号来定义 JavaScript 字符串。然后我按如下方式转义我嵌入的双引号。

这就是我的做法，基本上是str.replace(/[\""]/g, '\\"')。

var display = document.getElementById('output');
var str = 'class="whatever-foo__input" id="node-key"';
display.innerHTML = str.replace(/[\""]/g, '\\"');

//will return class=\"whatever-foo__input\" id=\"node-key\"

<span id="output"></span>

【参考方案7】：

我最近遇到了类似的问题，将单引号替换为对应的unicode（'）解决了

最初我的代码是这样的，导致我得到的结果被截断（例如，Jane's Coffee 在输出中变成了 Jane）。

b.innerHTML += "<input type='hidden' value='" + arr[i] + "'>";

当我引入 unicode 替换（如下所示）时，我得到了我想要的确切输出

b.innerHTML += "<input type='hidden' value='" + arr[i].replace("'", "&#39;") + "'>";