XPath に文字列を埋め込むときの注意 - IT戦記

よく、以下のように XPath に文字列を埋め込む事があります document.evaluate('//*[@class="' + text + '"]', document, null, 7, null); まあ、僕もよくこんなコード書くんですけど。 でも、これって text が外部から来るものだったら、意図通りの動作をしないんですよね たとえば、以下のような例です。 var text = '"] | /hoge/fuga/piyo | .["'; document.evaluate('//*[@class="' + text + '"]', document, null, 7, null); というわけで 任意の文字列を XPath の式に変換する JavaScript を書いてみた 以下で試せます http://amachang.sakura.ne.jp/misc/xpath_es

[amachang]

id:miya2000 twitter で理由を教えていただきありがとうございました！直しました！

[monjudoh]

『「文脈」と「任意のデータ」があれば、やっぱりそこにはエスケープの必要性があるということを忘れてはいけませんね』

[naga_sawa]

XPath 文字列のエスケープ処理

[wacky]

XPath用のエスケープ関数。コードスニペット。

[yuji1982]

ふむふむ、XPathはよく使う。と。

[Akaza]

xpath escape / XPathの動的生成はあんまりしないけど、一応

[miya2000]

最初に「危険」という言葉をつかっちゃダメ。「XPathもサニタイズしなきゃ」とかいうやつが出てくる。最後の一文だけで十分。

[nihen]

【「文脈」と「任意のデータ」があれば、やっぱりそこにはエスケープの必要性があるということを忘れてはいけませんね】

[LiosK]

JavaScriptで任意のXPathを実行されて困る場面ってどこなんだろ？普通のスクリプトであれ、GreaseMonkeyであれ、拡張機能であれ、ブラウザーサイドだったら自爆するだけな気がしないでもない…

[raimon49]

外部から来る値はメタ文字をエスケープ。

[ocs]

ちょうど今日たまたまXPathを書いたのでタイムリーすぎるネタ

[os0x]

$x('//text()[contains(self::text(),"' + text.replace(/"/g,'\\$&') + '")]') こうしてる／id:amachang なるほど! 確かに←はダメダメだった…

[efcl]

XPathのエスケープ

[kits]

and, or 等がどう扱われるのか気になる。