Js怎么实现HTML标签转义及反转义[朗读]

转义分为escapehtml和unescapehtml,先看两个函数的实现。
js代码。
/**。
* @function escapehtml 转义html脚本 <>&"&#39。
* @param a -。
* 字符串。
*/。
escapehtml:function(a){
a、quot;"+ a
return a.replace(/&/g,"&amp;").replace(/</g,"&lt;").replace(/>/g,"&gt;").replace(/"/g,"&quot;").replace(/'/g,"&apos;")。
}
/**。
* @function unescapehtml 还原html脚本 <>&"&#39。
* @param a -。
* 字符串。
*/。
unescapehtml:function(a){
a、quot;"+ a
return a.replace(/&lt;/g,"<").replace(/&gt;/g,">").replace(/&amp;/g,"&").replace(/&quot;/g,'"').replace(/&apos;/g,"'")。
}
1,escapehtml将<>&“ ‘转成字符实体。
使用场景。
（1）用户在页面中录入（比如输入框）,js将该内容提交给后端保存。
（2）显示时,后端将字符串返回前端;js接收到之后。
a、使用escapehtml,将字符串转为 <script>alert(2);</script>此时,浏览器将能正确解析,因为浏览器接收到实体字符后,转成对应的尖括号等。
b、不使用escapehtml,浏览器一看到<,便认为是html标签的开始,直接把刚才的字符串当脚本执行了,这就是xss漏洞。
2,unescapehtml将字符实体转成<>&“ ‘。
使用场景:
后端将已经转义后的内容显示到页面;比如<script>alert(2);</script&gt
js收到后。
a、前端进行unescapehtml,则可以直接dom操作,将标签显示到页面。
b、前端没有unescapehtml,则原样输出,但此时并没有执行。
转义字符:
提示:使用实体名而不是数字的好处是,名称易于记忆.不过坏处是,浏览器也许并不支持所有实体名称（对实体数字的支持却很好）。