如何轻松解码HTML特殊实体同时防止XSS？

轻松解码 HTML 特殊实体

解码 HTML 特殊实体可能是一项令人困惑的任务。考虑以下 JSON 响应：

{
    "message": "We're unable to complete your request at this time."
}

注意编码的撇号 (')。虽然这种编码背后的原因可能不清楚，但您最关心的是对其进行解码。

jQuery 的侵入性方法

使用 jQuery 的一种可能方法是将 HTML 字符串转换为一个div并提取其文本内容：

function decodeHtml(html) {
    return $('<div>').html(html).text();
}<p>但是，这种方法有点非常规。</p>
<p><strong>首选解决方案：保留标签</strong></p>
<p>存在更优雅的解决方案，也保留标签：</p>
<pre class="brush:php;toolbar:false">function decodeHtml(html) {
    var txt = document.createElement("textarea");
    txt.innerHTML = html;
    return txt.value;
}

此方法涉及创建一个textarea 元素，将其 innerHTML 设置为 HTML 字符串，然后检索其值，该值将是解码后的

预防 XSS 的实际示例

考虑以下示例：

Input:
Entity: Bad attempt at XSS:<script>alert('new\nline?')</script><br>

Output:
Entity: Bad attempt at XSS:<script>alert('new\nline?')</script><br>

如您所见，特殊实体 (  ) 被解码，同时保留脚本标签，确保您的应用程序的安全。