экранирование внутри значения атрибута HTML-тега

Question

У меня возникают проблемы с пониманием того, как экранирование работает внутри значений атрибутов тега html, которые являются javascript.

Я был убежден, что вы всегда должны избегать & '"<>. Так что для javascript в качестве значения атрибута Iпробовал:

<a href="javascript:alert(&apos;Hello&apos;);"></a>

Не работает. Однако:

<a href="javascript:alert(&#39;Hello&#39;);"></a>

и

<a href="javascript:alert('Hello');"></a>

работает во всех браузерах!

Теперь я полностью сбит с толку. Если все мои значения атрибутов заключены в двойные кавычки, означает ли это, что мне не нужно экранировать одинарные кавычки? Или это apos и ascii 39 технически разные символы? Так, что для javascript требуется ascii 39, а не apos?

Answer 1

Существует два типа «побегов»: HTML и JavaScript.При интерпретации HTML-документа экранированные коды HTML сначала анализируются.

Что касается HTML, то правила в значении атрибута такие же, как и в других местах, плюс одно дополнительное правило:

• Символ менее 100 * * должен быть экранированОбычно < используется для этого.Технически, в зависимости от версии HTML, экранирование не всегда требуется, но это всегда было хорошей практикой.
• Амперсанд & должен быть экранирован.Обычно для этого используется &.Это тоже не всегда обязательно, но проще делать это всегда, чем учиться и запоминать, когда это необходимо.
• Символ, который используется в качестве разделителей вокруг значения атрибута, должен быть экранирован внутри него.Если вы используете кавычку Ascii " в качестве разделителя, то обычно избегаете его вхождений, используя ", тогда как для апострофа Ascii ссылка на сущность ' определена только в некоторых версиях HTML, поэтому ее безопаснее всего использоватьчисловая ссылка ' (или ').

Вы можете экранировать > (или любой другой символ данных), если хотите, но это никогда не требуется.

На стороне JavaScript в строковых литералах есть несколько escape-механизмов (с \).Но это другая проблема, которая не относится к вашему случаю.

В вашем примере в браузере, соответствующем текущим спецификациям, интерпретатор JavaScript видит точно такой же код alert('Hello');.Браузер имеет «unescaped» ' или ' до '.Я был несколько удивлен, что ' не поддерживается повсеместно в наши дни, но это не проблема: редко возникает необходимость избежать апострофа Ascii в HTML (экранирование необходимо только в значениях атрибутов и только если вы используете Asciiапостроф как его разделитель), и когда он есть, вы можете использовать ' ссылку.

Answer 2

' не является допустимым ссылочным объектом HTML . Вы должны бежать, используя '

Answer 3

Вы правы, что вам не нужно избегать одинарных кавычек, если ваш тег заключен в двойные кавычки.Когда я делаю код javascript в тегах (что редко встречается в jQuery), единственным символом, который я избегаю, является двойная кавычка, остальные браузеры прекрасно справляются с остальными.