Q&A
前提・実現したいこと
webサイトの実装について質問します。
入力文字の「",',/」を「",',/」へエスケープしています。
発生している問題・エラーメッセージ
<!--<script>を入力として与えた場合、サイトの表示が崩れました。
前提の条件で任意のJavaScriptが実行可能かどうかを伺いたく思います。
該当のソースコード
HTML
1<html> 2 <body> 3 <script> 4 var abc = '入力'; 5 alert(abc); 6 </script> 7 </body> 8</html>
回答2件
0
「入力」が「<!--<script>」ということはこうでしょうか？
JavaScript
1 var abc = '<!--<script>'; 2 alert(abc);
script 要素に直接記述するのは制約があるため、XHTML 1.0 のガイドライン のように外部スクリプトにすることをおすすめします。
直接記述する場合には、"<!--" を "<!--" に、"<script" を "<\script" に、 "</script" を "</script" にそれぞれエスケープします。
https://triple-underscore.github.io/HTML-scripting-ja.html#restrictions-for-contents-of-script-elements
投稿2020/01/07 05:12
総合スコア13749
0
入力文字の「",',/」を「",',/」へエスケープしています。
(中略)
前提の条件で任意のJavaScriptが実行可能かどうかを伺いたく思います。
エスケープした「文字入力」の箇所が text/html （HTML全体）なのか
text/javascript （script要素内）の処理の一部なのか、定義が曖昧で不明瞭です。
エスケープ処理をどこでどのように行ったか、コードでも示されておりませんので回答は差し控えます。
<!--<script>を入力として与えた場合、サイトの表示が崩れました。
HTMLのコメント(nodeType == COMMENT_NODE)は <!--, --> で囲む必要があります。
正しいく終端をマークアップをしていない場合、サイトの表示は崩れます。
投稿2020/01/02 15:18
総合スコア5434
あなたの回答
tips
プレビュー
バッドをするには、ログインかつ
こちらの条件を満たす必要があります。