JavaScript文字列のエスケープ

これらの中で注目すべきは ‘ と ” と \ です。シングルクォート、ダブルクオートは文字リテラルを作成する為に利用され、\ でエスケープできることです。つまり、文字リテラルの最後に \ が現れると文字列の終端が無くなります。単独で不正なJavaScriptの挿入が可能になる訳ではありませんが、プログラムの構造が破壊される事を意味します。 PHPにはJavaScript文字列用のエスケープ関数が用意されていません。htmlspecialchars()やhtmlentities()で代用している場合も多いと思います。しかし、これらの関数ではJavaScript文字列のエスケープを十分に行う事ができません。 JavaScriptプログラムの構造が破壊される例 <?php $msg1 = 'test string\\'; $msg2 = ');alert(document.cookie); //

[tokuhirom]

最近だと id="hoge" data-foo="<% bar %>" しておいて $("#hoge").data('foo') でとりだすのが主流かと思います。

[n2s]

いや、まだ見かけますよ、そういうレガシーなやり方＞id:oldriver id:tokuhirom / 記事のような複雑なことやらなくてもHTMLエスケープだけ意識すればよくなるのでdata-fooを使う方法はもっと一般的になってほしい。

[oldriver]

「サーバー側のプログラムでJavaScriptの文字列にデータを出力するケースはよくあります。」←普通hiddenに持たせるとかで回避するので、そんな茨の道ケース少ない。

[Kenji_s]

別段この記事はJS文字列のエスケープを推奨してはいない。エスケープをする場合どうやるか解説しているだけ

[ghostbass]

まともにやるならここまで必要、という事。/ hiddenとかdata-*とかに設定する方が楽(エスケープ関数がバグってない場合)

[yaoki_dokidoki]

こんなめんどくさいのか〜

[you21979]

混ぜるな危険だと思う

[kits]

HTML と JavaScript 両方が混ざった状態でのエスケープは複雑過ぎるように思う。

[Kimura]

PHPでJavaScript文字列を適切にエスケープする方法の解説。「'」「"」「\」のエスケープは確実に。

[taka222]

”JavaScript文字列のエスケープ”

[catatsuy]

本気でやるならこうしないといけないので最初からやらないようにしましょうという事案 data- を使えばほとんどの場合は回避できるというかしないといけない

[knjname]

JavaScript生成、やりたくなるときがあるが、やってはいけない。しかし元がクソな仕事故やらざるを得ない時がある。