Làm cách nào để thoát dấu ngoặc kép bên trong các thuộc tính HTML?

Tôi có một trang thả xuống trên một trang web bị phá vỡ khi chuỗi giá trị chứa một trích dẫn.

Giá trị là "asd, nhưng trong DOM nó luôn xuất hiện dưới dạng một chuỗi rỗng.

Tôi đã thử mọi cách tôi biết để thoát chuỗi đúng, nhưng không có kết quả.

<option value=""asd">test</option>
<option value="\"asd">test</option>
<option value="&quot;asd">test</option>
<option value="&#34;asd">test</option>

Làm cách nào để hiển thị thông tin này trên trang để thông báo gửi lại chứa giá trị chính xác?

" là cách chính xác, thứ ba trong các bài kiểm tra của bạn:

<option value="&quot;asd">test</option>

Bạn có thể thấy điều này hoạt động dưới đây, hoặc trên jsFiddle .

alert($("option")[0].value);

<script src="https://ajax.googleapis.com/ajax/libs/jquery/2.1.1/jquery.min.js"></script>
<select>
  <option value="&quot;asd">Test</option>
</select>

Ngoài ra, bạn có thể phân định giá trị thuộc tính bằng dấu ngoặc đơn:

<option value='"asd'>test</option>

Nếu bạn đang sử dụng PHP, hãy thử gọi htmlentitieshoặc htmlspecialcharschức năng.

Theo cú pháp HTML và thậm chí HTML5 , sau đây là tất cả các tùy chọn hợp lệ:

<option value="&quot;asd">test</option>
<option value="&#34;asd">test</option>
<option value='"asd'>test</option>
<option value='&quot;asd'>test</option>
<option value='&#34;asd'>test</option>
<option value=&quot;asd>test</option>
<option value=&#34;asd>test</option>

Lưu ý rằng nếu bạn đang sử dụng cú pháp XML, các trích dẫn (một hoặc hai) là bắt buộc.

Đây là một jsfiddle hiển thị tất cả các hoạt động ở trên .

Một tùy chọn khác là thay thế dấu ngoặc kép bằng dấu ngoặc đơn nếu bạn không quan tâm nó là gì. Nhưng tôi không đề cập đến điều này:

<option value='"asd'>test</option>

Tôi đề cập đến điều này:

<option value="'asd">test</option>

Trong trường hợp của tôi, tôi đã sử dụng giải pháp này.

Nếu bạn đang sử dụng Javascript và Lodash, thì bạn có thể sử dụng _.escape (), thoát ", ', <,> và &.

Xem tại đây: https://lodash.com/docs/#escape

Bạn thực sự chỉ nên cho phép dữ liệu không đáng tin cậy vào danh sách trắng các thuộc tính tốt như: align, alink, alt, bgcolor, Border, cellpadding, cellspaces, class, color, cols, colspan, coords, dir, face, height, hspace, ismap, lang , marginheight, lề băng thông, nhiều, nohref, noresize, noshade, nowrap, ref, rel, rev, rows, rowspan, scrolling, hình dạng, span, tóm tắt, tabindex, title, usemap, valign, value, vlink, vspace, width

Bạn thực sự muốn giữ dữ liệu không đáng tin cậy khỏi các trình xử lý javascript cũng như các thuộc tính id hoặc tên (chúng có thể ghi đè các phần tử khác trong DOM).

Ngoài ra, nếu bạn đang đặt dữ liệu không đáng tin cậy vào thuộc tính SRC hoặc HREF, thì đó thực sự là một URL không đáng tin cậy để bạn xác thực URL, đảm bảo KHÔNG phải là javascript: URL và sau đó mã hóa thực thể HTML.

Thông tin chi tiết về tất cả những thứ ở đây: https://www.owasp.org/index.php/Aopedged_XSS_Prevent_Cheat_Sheet

Không có cách nào để thoát dấu ngoặc kép trong giá trị của văn bản đầu vào ... nhưng bạn có thể sử dụng javascript (hoặc jquery):

<input type="input" name="myinput" id="myinput" value="" />
<script>document.getElementById("myinput").value="This input has a [\"]";</script>