Lorsque vous traitez des chaînes contenant des balises HTML, il est crucial de les nettoyer et de les échapper pour des raisons de sécurité. Cela implique de remplacer les caractères suspects tels que '<', '>' et '&' par leurs entités HTML correspondantes : '<', '>' et '&'.
Approches traditionnelles comme les expressions régulières (par exemple, la fonction 'safe_tags') peuvent introduire un décalage notable lors du traitement de grands volumes de chaînes. Pour relever ce défi de performances, une solution alternative émerge : exploiter les propres capacités d'analyse HTML du navigateur.
La méthode consiste à créer un
Exemple de code :
var escape = document.createElement('textarea'); function escapeHTML(html) { escape.textContent = html; return escape.innerHTML; } function unescapeHTML(html) { escape.innerHTML = html; return escape.textContent; }
Voici une démonstration :
console.log(escapeHTML('<b>Hello world</b>')); // Outputs "<b>Hello world</b>" console.log(unescapeHTML('<b>Hello world</b>')); // Outputs "<b>Hello world</b>"
Bien que la suggestion de ne pas échapper au signe supérieur à («>») puisse sembler tentante pour optimiser les performances, elle présente des risques de sécurité. ">" non échappé Les caractères permettent aux attaquants d'injecter du code malveillant dans les scripts, ce qui rend cette option déconseillée.
Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!